Vulnerabilidades críticas en VMware Greenplum

Fecha de publicación: 

Resumen ejecutivo

VMware ha detectado múltiples vulnerabilidades críticas en sus productos, destacando CVE-2026-33816 (CVSS 9.8), que permite la ejecución de código malicioso a través de una falla de seguridad en la memoria, comprometiendo la integridad del sistema. Otra vulnerabilidad significativa es CVE-2026-34182 (CVSS 9.1), que permite a un atacante eludir la validación de integridad en mensajes criptográficos, facilitando ataques de fuerza bruta. Además, CVE-2026-45447 (CVSS 8.8) presenta un riesgo de ejecución remota de código debido a un uso después de liberación en OpenSSL. Se requiere una actualización urgente a las versiones corregidas para mitigar estos riesgos, ya que actualmente no se conocen explotaciones activas, pero el potencial de abuso es elevado.

Recursos afectados

  • VMware Tanzu Greenplum (versión 6.33.2)
  • VMware Tanzu Greenplum (versión 7.8.2)
  • VMware Tanzu Data Intelligence

Análisis técnico

  • CVE-2026-33816: Vulnerabilidad de seguridad de memoria en github.com/jackc/pgx/v5. Esta falla podría permitir a un atacante ejecutar código malicioso, comprometiendo así la integridad del sistema afectado. La explotación de esta vulnerabilidad requiere que un atacante tenga acceso a una aplicación que utilice esta biblioteca.
    • CWE: N/A
    • CVSS: 9.8 (crítica)
    • Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
    • Explotación: No detectada
  • CVE-2026-42010: Se ha detectado una vulnerabilidad en gnutls. Los servidores configurados con RSA-PSK (Rivest–Shamir–Adleman – clave precompartida) confundían erróneamente los nombres de usuario que contenían un carácter NUL con nombres de usuario truncados. Un atacante remoto podría aprovechar esta vulnerabilidad enviando un nombre de usuario especialmente diseñado, lo que daría lugar a un desvío de la autenticación. Esta vulnerabilidad permite a un atacante obtener acceso no autorizado eludiendo el proceso de autenticación.
    • CWE: N/A
    • CVSS: 9.8 (crítica)
    • Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
    • Explotación: No detectada
  • CVE-2026-33845: Un fallo en el análisis del protocolo de establecimiento de conexión DTLS de GnuTLS permite la presencia de fragmentos malformados con longitud cero y desplazamiento distinto de cero, lo que provoca un desbordamiento por debajo del rango de un entero durante el reensamblaje y da lugar a una lectura fuera de límites. Este problema puede explotarse de forma remota y puede provocar la divulgación de información o una denegación de servicio.
    • CWE: N/A
    • CVSS: 9.1 (crítica)
    • Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H
    • Explotación: No detectada
  • CVE-2026-34182: La vulnerabilidad radica en que los servicios de mensajes criptográficos (CMS) no validan adecuadamente la entrada en los campos de longitud de cifrado y etiqueta de los contenedores AuthEnvelopedData. Esto permite a atacantes eludir la validación de integridad y obtener funcionalidad equivalente a la clave del destinatario. Para explotar esta falla, un atacante puede enviar un mensaje CMS manipulando el cifrado o reduciendo la longitud de la etiqueta, facilitando ataques de fuerza bruta sobre la decriptación.
    • CWE-354
    • CVSS: 9.1 (crítica)
    • Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
    • Explotación: No detectada
  • CVE-2026-6100: Se identificó una vulnerabilidad de tipo Use-after-free (UAF) en `lzma.LZMADecompressor`, `bz2.BZ2Decompressor`, y `gzip.GzipFile`, que puede ser explotada al reutilizar instancias de descompresores tras un `MemoryError`. Esto puede ocurrir bajo presión de memoria, lo que podría permitir a un atacante ejecutar código arbitrario. La explotación requiere que las instancias de descompresores se reutilicen después de un error, ya que el uso de funciones como `lzma.decompress()` no es vulnerable en este contexto.
    • CWE-416
    • CVSS: 9.1 (crítica)
    • Vector CVSS: CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:N
    • Explotación: No detectada
  • CVE-2026-45447: Una vulnerabilidad en OpenSSL puede permitir un uso después de liberación (use-after-free) al procesar mensajes firmados con PKCS#7 o S/MIME, lo que podría causar fallos en el proceso, corrupción de memoria o ejecución remota de código. Para que se produzca esta explotación, la aplicación debe liberar incorrectamente un BIO tras llamar a PKCS7_verify(). Las aplicaciones que utilizan las API PKCS#7 de OpenSSL están en riesgo, mientras que las que emplean las API CMS no se ven afectadas.
    • CWE-416
    • CVSS: 8.8 (alta)
    • Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
    • Explotación: No detectada
  • CVE-2026-42013: Se ha descubierto una vulnerabilidad en gnutls relacionada con la validación de certificados. Un campo de Nombre Alternativo del Sujeto (SAN) sobredimensionado puede hacer que el proceso de validación se incorrectamente vuelva a consultar el campo de Nombre Común (CN), permitiendo a un atacante remoto eludir la validación adecuada de certificados. Esto puede resultar en ataques de suplantación o de intermediario. No se especifican requisitos adicionales para la explotación.
    • CWE-1284
    • CVSS: 8.2 (alta)
    • Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:H/A:N
    • Explotación: No detectada
  • CVE-2026-5260: Se encontró una vulnerabilidad en libgnutls que permite a un atacante remoto provocar una lectura excesiva de memoria al enviar un premaster secreto muy corto durante un intercambio de clave RSA. Este fallo de corrupción de memoria podría resultar en la divulgación de información sensible. Para explotar esta vulnerabilidad, el atacante debe generar un RSA utilizando un token PKCS#11.
    • CWE-1284
    • CVSS: 8.2 (alta)
    • Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:H
    • Explotación: No detectada
  • CVE-2026-48864: Se identificó una vulnerabilidad en libsolv, específicamente un desbordamiento de buffer en el heap al descomprimir datos controlados por un atacante en archivos `.solv`, debido a una validación insuficiente de entrada. El impacto potencial incluye divulgación de información, alteración de la ejecución del programa o una denegación de servicio. Para explotarla, un atacante debe proporcionar un archivo `.solv` especialmente diseñado que sea procesado por una aplicación vulnerable.
    • CWE-787
    • CVSS: 7.8 (alta)
    • Vector CVSS: CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
    • Explotación: No detectada
  • CVE-2026-4775: Se ha detectado una vulnerabilidad en la biblioteca libtiff. Un atacante remoto podría aprovechar una vulnerabilidad de desbordamiento de entero con signo en la función «putcontig8bitYCbCr44tile» proporcionando un archivo TIFF especialmente manipulado. Esta vulnerabilidad puede provocar una escritura fuera de límites en el montón debido a cálculos incorrectos de los punteros de memoria, lo que podría causar una denegación de servicio (bloqueo de la aplicación) o la ejecución de código arbitrario.
    • CWE: N/A
    • CVSS: 7.8 (alta)
    • Vector CVSS: CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
    • Explotación: No detectada
  • CVE-2026-4786: La mitigación de CVE-2026-4519 fue incompleta, permitiendo el bypass si la URL incluía "%action". Esto podría permitir la inyección de comandos en el shell subyacente a través de la API "webbrowser.open()" en ciertos tipos de navegadores. El impacto potencial es la ejecución no autorizada de comandos. Para explotar esta vulnerabilidad, se necesita manipular la URL de manera específica.
    • CWE-77
    • CVSS: 7.8 (alta)
    • Vector CVSS: 7.8 (alta)
    • Explotación: CVSS:4.0/AV:L/AC:L/AT:P/PR:N/UI:A/VC:H/VI:H/VA:N
  • CVE-2026-33846: Existe una vulnerabilidad de desbordamiento de búfer en el heap en la lógica de reensamblaje de fragmentos del handshake DTLS de GnuTLS. Un atacante puede aprovechar esto enviando fragmentos DTLS manipulados con valores de message_length conflictivos, lo que provoca escrituras fuera de límites en el heap. La explotación se puede llevar a cabo de forma remota sin necesidad de autenticación a través del camino de handshake DTLS, lo que puede resultar en caídas de la aplicación o corrupción de memoria.
    • CWE-130
    • CVSS: 7.5 (alta)
    • Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
    • Explotación: No detectada
  • CVE-2026-42009: Se encontró una vulnerabilidad en gnutls relacionada con la lógica de reordenamiento de paquetes en Datagram Transport Layer Security (DTLS). Un atacante remoto podría causar un servicio inestable o un comportamiento indefinido al explotar esta falla, lo que podría resultar en una denegación de servicio. Esta vulnerabilidad se produce debido a que la función comparadora no maneja correctamente los paquetes con números de secuencia duplicados.
    • CWE-475
    • CVSS: 7.5 (alta)
    • Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
    • Explotación: No detectada
  • CVE-2026-33416: Se ha identificado una vulnerabilidad en LIBPNG que afecta a las versiones 1.2.1 a 1.6.55, donde el aliasing de búferes entre 'png_struct' y 'png_info' puede causar desreferencias en memoria liberada. Esto podría permitir la escritura en memoria, lo que potencialmente lleva a la ejecución de código malicioso. Para explotar esta vulnerabilidad, se requiere llamar a 'png_set_tRNS' o 'png_set_PLTE' después de que se haya liberado la memoria. La versión 1.6.56 corrige este problema.
    • CWE-416
    • CVSS: 7.5 (alta)
    • Vector CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H
    • Explotación: No detectada
  • CVE-2026-34183: La vulnerabilidad permite que un atacante remoto agote la memoria heap del servidor o cliente QUIC al inundarlo con paquetes de frames PATH_CHALLENGE. Esto puede resultar en una asignación de memoria descontrolada, provocando la terminación anormal de la aplicación y generando una Denegación de Servicio. El atacante debe no reconocer la recepción del frame PATH_RESPONSE para explotar esta falla. Los módulos FIPS en 4.0, 3.6, 3.5, 3.4 y 3.0 no están afectados por este problema.
    • CWE-1325
    • CVSS: 7.5 (alta)
    • Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
    • Explotación: No detectada
  • CVE-2026-42504: Una vulnerabilidad en la decodificación de encabezados MIME maliciosamente elaborados puede provocar un consumo excesivo de CPU. Esto podría conducir a un deterioro significativo del rendimiento de los sistemas afectados. Para que esta vulnerabilidad sea explotada, se necesita enviar un encabezado MIME diseñado con un gran número de palabras codificadas inválidas.
    • CWE-407
    • CVSS: 7.5 (alta)
    • Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
    • Explotación: No detectada
  • CVE-2026-28390: Se ha identificado una vulnerabilidad en la manipulación de mensajes CMS EnvelopedData, donde puede ocurrir una desreferencia de puntero nulo. Esto puede provocar que las aplicaciones, al procesar datos CMS controlados por un atacante, se bloqueen, resultando en una Denegación de Servicio. La explotación requiere que las aplicaciones llamen a CMS_decrypt() con entradas no confiables, como en el procesamiento de S/MIME o protocolos basados en CMS. Las versiones FIPS en 3.6, 3.5, 3.4, 3.3 y 3.0 no están afectadas.
    • CWE-476
    • CVSS: 7.5 (alta)
    • Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
    • Explotación: No detectada
  • CVE-2026-44660: UltraJSON presenta una vulnerabilidad de fugas de memoria que ocurre cuando ujson.dump() intenta escribir en un objeto similar a un archivo y se produce una excepción. El impacto potencial es que cada fallo en la operación de escritura provoca una fuga equivalente al tamaño completo del payload serializado. Para explotar esta vulnerabilidad, se requiere que se produzca una excepción durante la operación de escritura. La vulnerabilidad está solucionada en la versión 5.12.1.
    • CWE-401
    • CVSS: 7.5 (alta)
    • Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
    • Explotación: No detectada
  • CVE-2026-45445: La vulnerabilidad ocurre cuando una aplicación utiliza el interfaz one-shot EVP_Cipher() con AES-OCB, ya que el vector de inicialización (IV) proporcionado es ignorado. Esto permite la reutilización de nonce y compromete la confidencialidad al crear etiquetas de autenticación que dependen solo de la clave y el IV, facilitando la forja de cifrados. La explotación requiere que se utilice específicamente el API EVP_Cipher() en lugar de las interfaces documentadas. Aplicaciones usando EVP_CipherUpdate() no son vulnerables.
    • CWE-325
    • CVSS: 7.5 (alta)
    • Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
    • Explotación: No detectada
  • CVE-2026-32274: La vulnerabilidad en Black, el formateador de código Python, permitía a un atacante escribir archivos de caché en ubicaciones arbitrarias debido a la falta de sanitización del valor de la opción --python-cell-magics antes de la versión 26.3.1. Esto podría resultar en la modificación o creación de archivos en el sistema afectado. Para explotar esta vulnerabilidad, un atacante debe poder controlar el valor del argumento afectado. Esta falla fue corregida en Black 26.3.1.
    • CWE-22
    • CVSS: 7.5 (alta)
    • Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N
    • Explotación: No detectada
  • CVE-2026-42011: Se encontró una vulnerabilidad en gnutls que se debe a la incorrecta gestión de las restricciones de nombres permitidos en ciertos casos. Un atacante remoto podría explotarla para eludir verificaciones críticas durante la validación de certificados. Esta elusión podría resultar en la aceptación de certificados no válidos, lo que facilitaría ataques de suplantación o de intermediario contra los sistemas afectados.
    • CWE-295
    • CVSS: 7.4 (alta)
    • Vector CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N
    • Explotación: No detectada
  • CVE-2026-42012: Se identificó una vulnerabilidad en gnutls que permite a un atacante remoto explotar un certificado manipulado con nombres alternativos en el URI o SRV. Esto podría resultar en la validación incorrecta del certificado, haciendo que se revisen los nombres de host DNS en lugar del nombre común, lo que podría permitir al atacante suplantar servicios legítimos o interceptar información sensible. Se requiere que el atacante presente un certificado especialmente diseñado para llevar a cabo este ataque.
    • CWE-295
    • CVSS: 7.1 (alta)
    • Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:H/A:N
    • Explotación: No detectada
  • CVE-2026-41989: En versiones anteriores a la 1.12.2 de Libgcrypt, en ocasiones se puede producir un desbordamiento de búfer en el montón y una denegación de servicio mediante un texto cifrado ECDH manipulado en la función gcry_pk_decrypt.
    • CWE: N/A
    • CVSS: 6.7 (media)
    • Vector CVSS: CVSS:3.1/AV:L/AC:H/PR:N/UI:N/S:U/C:N/I:H/A:H
    • Explotación: No detectada
  • CVE-2026-29111: Una vulnerabilidad en systemd permite que un atacante sobrescriba la pila mediante una llamada a la API IPC no privilegiada con datos manipulados en versiones v249 y anteriores. Esto puede llevar a la ejecución de código malicioso, comprometiendo la estabilidad del sistema. Para explotar esta vulnerabilidad, se requiere que el atacante realice una llamada específica a la API en un entorno vulnerable, ya que versiones posteriores como v250 previenen este problema al activar una aserción.
    • CWE-269
    • CVSS: 5.5 (media)
    • Vector CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H
    • Explotación: No detectada
  • CVE-2025-15079: Se ha identificado una vulnerabilidad en libcurl al realizar transferencias basadas en SSH utilizando SCP o SFTP, donde puede aceptar conexiones a hosts no presentes en el archivo known_hosts especificado. Esto podría permitir a un atacante acceder a información sensible al interceptar las transferencias. La explotación requiere que el atacante manipule el archivo global known_hosts de libssh.
    • CWE-297
    • CVSS: 5.3 (media)
    • Vector CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:N/A:N
    • Explotación: No detectada
  • CVE-2026-45186: Una vulnerabilidad en libexpat antes de la versión 2.8.1 permite que un atacante provoque una denegación de servicio mediante el envío de un input XML diseñado de tamaño moderado. El impacto potencial es que el sistema puede volverse inaccesible o fallar al procesar ciertos archivos XML. Para explotar esta vulnerabilidad, el atacante solo necesita proporcionar un archivo XML manipulado.
    • CWE-407
    • CVSS: 2.9 (baja)
    • Vector CVSS: CVSS:3.1/AV:L/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:L
    • Explotación: No detectada

Mitigación / Solución

Para mitigar o solucionar los problemas de seguridad en VMware Tanzu Greenplum, se recomienda actualizar a las versiones más recientes que incluyen las siguientes correcciones de seguridad: para la versión 6.33.2, se han corregido vulnerabilidades críticas como GO-2026-5023, GO-2026-5026, y CVE-2026-45445, entre otras. Para la versión 7.8.2, se deben aplicar las correcciones mencionadas, que incluyen vulnerabilidades críticas y de alta severidad. Más detalles sobre las correcciones pueden encontrarse en las notas de lanzamiento disponibles en el siguiente enlace: Notas de lanzamiento de Tanzu Greenplum.

Referencias adicionales

    Compartir