Apache Guacamole es un software de administración remota que admite los protocolos VNC, RDP y SSH. El cliente basado en HTML5 no necesita la instalación de ningún cliente para su uso.

La empresa de seguridad Checkpoint pensó en esta solución para sus 5.000 empleados durante las primeras etapas de la pandemia. Por lo que el investigador de seguridad Eyal Itkin de la propia compañía revisó la seguridad de la herramienta, antes de su puesta en producción encontrando dos fallos de seguridad.

CVE-2020-9498: Un fallo de referencia colgante ‘Dangling pointer’ en el manejo de canales virtuales estáticos RDP podría permitir a un atacante crear un servidor comprometido con capacidad de ejecución remota en los clientes que se conecten a él.

CVE-2020-9497: Un error en la validación de entrada de los canales virtuales estáticos en RDP, podría permitir a un atacante crear un servidor comprometido que permitiría el robo de información a través del proceso ‘guacd’.

La empresa Checkpoint comunicó a Apache Guacamole de estos dos fallos que ya han sido corregidos y podemos encontrar las actualizaciones en la página oficial del proyecto.

Referencias:

https://guacamole.apache.org/

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-9498

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-9497