Múltiples vulnerabilidades en Tableau Desktop

Fecha de publicación

27/03/2019

Importancia

4 - Alta

Recursos Afectados

Tableau Desktop para sistemas operativos Mac y Windows:
- desde la versión 10.1 hasta 10.1.22
- desde la versión 10.2 hasta 10.2.18
- desde la versión 10.3 hasta 10.3.18
- desde la versión 10.4 hasta 10.4.14
- desde la versión 10.5 hasta 10.5.13
- desde la versión 2018.1 hasta 2018.1.10
- desde la versión 2018.2 hasta 2018.2.7
- desde la versión 2018.3 hasta 2018.3.4
- desde la versión 2019.1 hasta 2019.1.0 (2019.1.1 fue un lanzamiento de Tableau Server paralizado)
- desde la versión 2019.1 hasta 2019.1.1

Descripción

Tableau ha publicado tres vulnerabilidades que afectan a Tableau Desktop que podrían permitir ejecución remota de código y mostrar datos a usuarios no autorizados.

Solución

Tableau Desktop ha publicado una serie de actualizaciones que mitigan las vulnerabilidades en función de la versión y sistemas operativos. Puede comprobar la versión en el siguiente listado:
- version 10.1.23
- versión 10.2.19
- versión 10.3.19
- versión 10.4.15
- versión 10.5.14
- versión 2018.1.11
- versión 2018.2.8
- versión 2018.3.5
- versión 2019.1.2

Detalle

Una vulnerabilidad permite la revelación de información en thumbnails (imágenes en miniatura). Un usuario que pueda verlas en un libro de trabajo, podrá ver una imagen estática del mismo, tal y como existía en el momento en el que se publicó. Estas imagen podría contener datos que el usuario «espectador» no tiene permiso para ver.
Un usuario que se conecta a un Conector de Datos Web malicioso con Tableau Desktop en Mac puede provocar una vulnerabilidad de corrupción de memoria. Un atacante que explote esta vulnerabilidad podría ejecutar código arbitrario o provocar un bloqueo.
Cuando se utiliza el protocolo NTLM para autenticarse en un sitio web, existe la posibilidad de una lectura y escritura fuera de los límites. Esto podría provocar la ejecución remota de código o un bloqueo. Abrir un libro malicioso o conectarse a una instancia maliciosa de Tableau Server puede provocar esta vulnerabilidad. Esta vulnerabilidad relacionada con la librería «libcurl» tiene asignados los CVE-2018-16890 y CVE-2019-3822 .