martes, 16 de diciembre de 2014

Diversas vulnerabilidades en IBM DB2

Se han confirmado cuatro vulnerabilidades en IBM DB2 (el popular gestor de base de datos de IBM) versiones 9.5, 9.7, 9.8, 10.1 y 10.5 sobre sistemas AIX, Linux, HP, Solaris y Windows; que podrían permitir a un atacante remoto provocar condiciones de denegación de servicio en los sistemas afectados.

Todos los problemas están relacionados con el tratamiento de sentencias ALTER TABLE específicamente construidas; y podrían permitir a atacantes remotos autenticados provocar la caída del servidor DB2. Los CVE asociados son CVE-2014-6209, CVE-2014-6210, CVE-2014-6097 y CVE-2014-6159.

Los problemas afectan a los siguientes productos:
IBM DB2 Express Edition
IBM DB2 Workgroup Server Edition
IBM DB2 Enterprise Server Edition
IBM DB2 Advanced Enterprise Server Edition
IBM DB2 Advanced Workgroup Server Edition
IBM DB2 Connect Application Server Edition
IBM DB2 Connect Enterprise Edition
IBM DB2 Connect Unlimited Edition for System i
IBM DB2 Connect Unlimited Edition for System z

IBM ha publicado las actualizaciones necesarias para corregir estos problemas en DB2 y DB2 Connect disponibles desde Fix Central.

Más información:

Security Bulletin: IBM® DB2® LUW contains a vulnerability in which an ALTER TABLE statement on identity column may cause the DB2 server to terminate abnormally. (CVE-2014-6209)

Security Bulletin: IBM® DB2® LUW contains a vulnerability in which multiple ALTER TABLE statements may cause the DB2 server to terminate abnormally. (CVE-2014-6210)

Security Bulletin: IBM® DB2® LUW contains a vulnerability in which an ALTER TABLE statement may cause the DB2 server to terminate abnormally. (CVE-2014-6097)

Security Bulletin: IBM® DB2® LUW contains a vulnerability in which an ALTER TABLE statement may cause the DB2 server to terminate abnormally when AUTO_REVAL is set to IMMEDIATE . (CVE-2014-6159)


Antonio Ropero
Twitter: @aropero



lunes, 15 de diciembre de 2014

Vulnerabilidad de ejecución de código a través de clientes Torrent


Se ha anunciado una vulnerabilidad en los clientes BitTorrent y uTorrent, que podría permitir a un atacante remoto comprometer los sistemas afectados.

El problema, con CVE-2014-8515, reside en el tratamiento de valores de emparejamiento relacionado con WebUI, por lo que es necesario que se encuentre activa la interfaz web (WebUI). Un atacante remoto podría lograr la ejecución de código arbitrario al finalizar la descarga de un archivo torrent especialmente diseñado.

Se ven afectadas las versiones de BitTorrent y uTorrent anteriores a la 36802. Se han puiblicado actualizaciones que solucionan el problema:

Más información:

BitTorrent Web Interface Remote Code Execution Vulnerability

2014-12-4: Version 3.4.2 (build 36802)

BitTorrent Client Release Notes


Antonio Ropero
Twitter: @aropero