Se ha
encontrado una vulnerabilidad en Wiby CodeMeter, que podría ser aprovechada para provocar
ataques XSS de tipo persistente. La vulnerabilidad
ha sido descubierta por Benjamin Kunz Mejri de Evolution Security GmbH.
CodeMeter es
una solución de seguridad para editores de software y fabricantes de
dispositivos inteligentes, combinando la protección, seguridad y emisión de
licencias para software. Es ampliamente utilizado en el sector industrial,
siendo sus variantes compatibles con un gran número de controladores,
dispositivos y ordenadores: desde microcontroladores sencillos o dispositivos móviles
e incluso controladores lógicos programables (PLC), además de ordenadores
personales y servidores.
Como hemos
comentado en otros boletines, un ataque Cross-Site Scripting o XSS se basa en
que una página web no filtra correctamente ciertos caracteres especiales y
permite ejecutar código JavaScript.
Dentro del XSS
existen dos tipos, el persistente y el no persistente. Con el XSS no
persistente se consigue que, mediante una URL especialmente modificada, en la
web afectada se obtenga otro resultado.
El otro tipo,
y el que afecta al error comentado en este boletín, es el XSS persistente, que
puede resultar bastante más peligroso. Este tipo de ataques se producen
igualmente al no comprobar los datos de entrada en una web, normalmente
formularios y quedan "grabados". El atacante puede introducir un código JavaScript que
quedará almacenado en la base de datos y cuando un usuario legítimo visite la
web, esta cargará ese código.
El problema,
con CVE-2017-13754, se debería a un error de validación de entrada en el campo ‘server
Name’ de las herramientas avanzadas del módulo ‘time server’. Los archivos afectados por este problema son `ChangeConfiguration.html`
(donde se inyecta el payload),` time_server_list.html` y
`certified_time.html` (en estos dos, donde se ejecuta el problema). Este error podría
ser aprovechado por un atacante remoto inyectar código web malicioso a través
de Scripts especialmente manipulados.
Este problema afecta
a las versiones anteriores a la 6.50b.
Se recomienda actualizar a versiones superiores.
Más información:
Wibu CodeMeter
Wibu Systems CodeMeter 6.50 - Persistent
XSS Vulnerability
Juan
Sánchez
jasanchez @ hispasec.com
No hay comentarios:
Publicar un comentario