Vulnerabilidades en diversos productos Symantec

Symantec ha confirmado cuatro vulnerabilidades en productos Symantec Embedded Security (SES:CSP), Symantec Critical System Protection (SCSP) y Symantec Data Center Security (DCS:SA) que podrían permitir ataques de inyección SQL, ejecución remota de código arbitrario o evitar la protección del agente.

Concretamente las vulnerabilidades afectan a las siguientes versiones de los productos:

• Symantec Embedded Security: Critical System Protection (SES:CSP) 1.0.x
• Symantec Embedded Security: Critical System Protection for Controllers and Devices (SES:CSP) 6.5.0
• Symantec Critical System Protection (SCSP) 5.2.9 y anteriores
• Symantec Data Center Security: Server Advanced Server (DCS:SA) 6.0.x
• Symantec Data Center Security: Server Advanced Server (DCS:SA) 6.5.x
• Symantec Data Center Security: Server Advanced Server (DCS:SA) 6.6
• Symantec Data Center Security: Server Advanced Server and Agents (DCS:SA) 6.6 MP1 

El primer problema, con CVE-2015-8157, afecta a los servidores de administración y podría permitir a usuarios de la red sin privilegios efectuar ataques de inyección SQL. Por otra parte, con CVE-2015-8798, el servidor de administración ni filtra adecuadamente las entradas del usuario, lo que podría permitir a usuarios con permisos restringidos ejecutar código arbitrario con privilegios elevados (este problema no afecta a versiones 5.2.9 y anteriores).

Otro problema (CVE-2015-8799) podría permitir a un usuario privilegios limitados podría instalar paquetes de actualización específicamente diseñados para una posterior ejecución por el agente (este problema no afecta a versiones 5.2.9 y anteriores). Por último, con CVE-2015-8800, un usuario autenticado que pueda leer o escribir en una tubería podría inyectar argumentos arbitrarios que podrían permitir evitar la protección de seguridad del agente. 

Symantec ha publicado actualizaciones para los productos afectados disponibles desde:

Para SES:CSP 1.0.x y 6.5.0 disponibles a través de Symantec File Connect.

https://symantec.flexnetoperations.com/

Para SES:CSP y SDCS:SA disponibles a través de TechNote INFO3743

http://www.symantec.com/docs/INFO3743

Más información:

Security Advisories Relating to Symantec Products - Symantec Embedded Security: Critical System Protection and Symantec Data Center Security: Server Advanced, Multiple Security Issues

https://www.symantec.com/security_response/securityupdates/detail.jsp?fid=security_advisory&pvid=security_advisory&year=&suid=20160607_00

Antonio Ropero

antonior@hispasec.com

Twitter: @aropero