Resumen
Una actualización de seguridad del agente de Java reconfiguró el analizador YAML para incluir un SafeConstructor, que elimina la capacidad de ejecutar código limitado controlado por el usuario.
Release date: 26 de abril de 2021
Vulnerability identifier: NR21-02
Priority: Bajo
Software afectado
Las siguientes versiones del agente New Relic se ven afectadas:
Nombre | Versión afectada | Versión remediada |
|---|---|---|
Agente de Java | < 6.4.2 | 6.5.0 |
Información de vulnerabilidades
Una notación especificada, cuando se analiza mediante una llamada Yaml.load() no segura, creará un nuevo objeto Java e invocará su constructor, lo que podría conducir a la ejecución del código. Un atacante tendría que tener acceso al host del agente para editar el archivo newrelic.yml e incluir una carga útil diseñada que ejecutaría código arbitrario una vez que se iniciara el agente.
Factores atenuantes
Esta vulnerabilidad requiere que un atacante ya tenga acceso al host para poder modificar el archivo de configuración newrelic.yml en la máquina de la víctima, lo que en sí mismo es un factor mitigante. Sin embargo, existen pasos adicionales que puede seguir para solucionar completamente este problema o reforzar sus sistemas contra él:
- Actualice su agente de Java para parchear estas vulnerabilidades
- Revocar privilegios de escritura en su archivo
newrelic.yml
Soluciones alternativas
Informar vulnerabilidades de seguridad a New Relic
New Relic está comprometido con la seguridad de nuestros clientes y sus datos. Si cree que ha encontrado vulnerabilidades de seguridad en uno de nuestros productos o sitios web, le damos la bienvenida y le agradecemos enormemente que lo informe al programa de divulgación coordinada de New Relic. Para obtener más información, consulte nuestra documentación sobre cómo informar vulnerabilidades de seguridad.