Múltiples vulnerabilidades en Tableau Desktop

Fecha de publicación: 27/03/2019

Importancia: Alta

Recursos afectados:

  • Tableau Desktop para sistemas operativos Mac y Windows:
    • desde la versión 10.1 hasta 10.1.22
    • desde la versión 10.2 hasta 10.2.18
    • desde la versión 10.3 hasta 10.3.18
    • desde la versión 10.4 hasta 10.4.14
    • desde la versión 10.5 hasta 10.5.13
    • desde la versión 2018.1 hasta 2018.1.10
    • desde la versión 2018.2 hasta 2018.2.7
    • desde la versión 2018.3 hasta 2018.3.4
    • desde la versión 2019.1 hasta 2019.1.0 (2019.1.1 fue un lanzamiento de Tableau Server paralizado)
    • desde la versión 2019.1 hasta 2019.1.1

Descripción:

Tableau ha publicado tres vulnerabilidades que afectan a Tableau Desktop que podrían permitir ejecución remota de código y mostrar datos a usuarios no autorizados.

Solución:

  • Tableau Desktop ha publicado una serie de actualizaciones que mitigan las vulnerabilidades en función de la versión y sistemas operativos. Puede comprobar la versión en el siguiente listado:
    • version 10.1.23
    • versión 10.2.19
    • versión 10.3.19
    • versión 10.4.15
    • versión 10.5.14
    • versión 2018.1.11
    • versión 2018.2.8
    • versión 2018.3.5
    • versión 2019.1.2

Detalle:

  • Una vulnerabilidad permite la revelación de información en thumbnails (imágenes en miniatura). Un usuario que pueda verlas en un libro de trabajo, podrá ver una imagen estática del mismo, tal y como existía en el momento en el que se publicó. Estas imagen podría contener datos que el usuario «espectador» no tiene permiso para ver.
  • Un usuario que se conecta a un Conector de Datos Web malicioso con Tableau Desktop en Mac puede provocar una vulnerabilidad de corrupción de memoria. Un atacante que explote esta vulnerabilidad podría ejecutar código arbitrario o provocar un bloqueo.
  • Cuando se utiliza el protocolo NTLM para autenticarse en un sitio web, existe la posibilidad de una lectura y escritura fuera de los límites. Esto podría provocar la ejecución remota de código o un bloqueo. Abrir un libro malicioso o conectarse a una instancia maliciosa de Tableau Server puede provocar esta vulnerabilidad. Esta vulnerabilidad relacionada con la librería «libcurl» tiene asignados los CVE-2018-16890 y CVE-2019-3822 .

Etiquetas: Actualización, Vulnerabilidad