Vulnerabilidad en una consulta de base de datos en funciones definidas por el usuario (UDF) escritas en Lua en Aerospike Community Edition (CVE-2020-13151)
Gravedad CVSS v3.1:
CRÍTICA
Tipo:
CWE-78
Neutralización incorrecta de elementos especiales usados en un comando de sistema operativo (Inyección de comando de sistema operativo)
Fecha de publicación:
05/08/2020
Última modificación:
28/01/2023
Descripción
Aerospike Community Edition versión 4.9.0.5, permite el envío y la ejecución no autenticada de funciones definidas por el usuario (UDF), escritas en Lua, como parte de una consulta de base de datos. Intenta restringir la ejecución del código al deshabilitar las llamadas a la función os.execute(), pero esto es insuficiente. Cualquier persona con acceso a la red puede utilizar una UDF diseñada para ejecutar comandos arbitrarios de Sistema Operativo en todos los nodos del clúster en el nivel de permiso del usuario que ejecuta el servicio de Aerospike
Impacto
Puntuación base 3.x
9.80
Gravedad 3.x
CRÍTICA
Puntuación base 2.0
10.00
Gravedad 2.0
ALTA
Productos y versiones vulnerables
| CPE | Desde | Hasta |
|---|---|---|
| cpe:2.3:a:aerospike:aerospike_server:*:*:*:*:community:*:*:* | 4.5.3.21 (excluyendo) | |
| cpe:2.3:a:aerospike:aerospike_server:*:*:*:*:community:*:*:* | 4.6.0.1 (incluyendo) | 4.6.0.19 (excluyendo) |
| cpe:2.3:a:aerospike:aerospike_server:*:*:*:*:community:*:*:* | 4.7.0.1 (incluyendo) | 4.7.0.17 (excluyendo) |
| cpe:2.3:a:aerospike:aerospike_server:*:*:*:*:community:*:*:* | 4.8.0.1 (incluyendo) | 4.8.0.13 (excluyendo) |
| cpe:2.3:a:aerospike:aerospike_server:*:*:*:*:community:*:*:* | 4.9.0.1 (incluyendo) | 4.9.0.10 (excluyendo) |
| cpe:2.3:a:aerospike:aerospike_server:*:*:*:*:community:*:*:* | 5.0.0.1 (incluyendo) | 5.0.0.7 (excluyendo) |
Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página
Referencias a soluciones, herramientas e información
- http://packetstormsecurity.com/files/160106/Aerospike-Database-5.1.0.3-Remote-Command-Execution.html
- http://packetstormsecurity.com/files/160451/Aerospike-Database-UDF-Lua-Code-Execution.html
- https://b4ny4n.github.io/network-pentest/2020/08/01/cve-2020-13151-poc-aerospike.html
- https://www.aerospike.com/docs/operations/configure/security/access-control/index.html#create-users-and-assign-roles
- https://www.aerospike.com/download/server/notes.html#5.1.0.3
- https://www.aerospike.com/enterprise/download/server/notes.html#5.1.0.3



