Las dos vulnerabilidades activas de JasperReports

Se han reportado numerosos casos de explotación de dos vulnerabilidades que afectan a el producto JasperReports de TIBCO Software.

Las vulnerabilidades que fueron abordadas por TIBCO en abril de 2018 y marzo de 2019 fueron,  CVE-2018-5430 (puntuación CVSS: 7,7) y CVE-2018-18809 (puntuación CVSS: 9,9).

TIBCO JasperReports es una plataforma de análisis de datos y generación de informes basada en Java para crear, distribuir y administrar informes y paneles.

El primero de los dos problemas, CVE-2018-5430, se relaciona con un error de divulgación de información en el componente del servidor que podría permitir que un usuario autenticado obtenga acceso de solo lectura a archivos arbitrarios, incluidas configuraciones clave.

«El impacto incluye el posible acceso de solo lectura por parte de usuarios autenticados a los archivos de configuración de la aplicación web que contienen las credenciales utilizadas por el servidor», señaló TIBCO en ese momento. «Esas credenciales podrían usarse para afectar los sistemas externos a los que accede el servidor JasperReports».

CVE-2018-18809, por otro lado, es una vulnerabilidad de cruce de directorios en la biblioteca JasperReports que podría permitir a los usuarios del servidor web acceder a archivos confidenciales en el host, lo que podría hacer posible que un atacante robe credenciales e irrumpa en otros sistemas.

Se recomienda actualizar los sistemas lo antes posible para prevenir posibles intrusiones o incidentes de ciberseguridad.