Cross-Site Request Forgery en IBM WebSphere Portal

IBM ha publicado un boletín de seguridad para alertar de una vulnerabilidad de cross-site request forgery (CSRF) en IBM WebSphere Portal 8.5.

IBM WebSphere Portal ofrece una aplicación compuesta o infraestructura de "mashup" empresarial y las herramientas para crear soluciones basadas en SOA (Arquitectura Orientada a Servicios). WebSphere Portal contiene una amplia variedad de tecnologías destinadas a desarrollar y mantener portales B2C, B2B y B2E.

El problema, con CVE CVE-2016-2901, reside en un error de validación de las entradas del usuario que podría permitir a un atacante remoto realizar ataques de cross-site request forgery. Este tipo de vulnerabilidades permiten a un atacante ejecutar funcionalidades de una web determinada a través de la sesión de otro usuario en esa web. De esta forma un atacante podría tener acceso al servidor con los mismos permisos que los del usuario atacado.

IBM ha publicado una corrección para evitar este problema, disponible con la identificación PI62594:

http://www.ibm.com/eserver/support/fixes/fixcentral/swg/quickorder?productid=WebSphere%20Portal&brandid=5&apar=PI62594

Más información:

Security Bulletin: Cross-Site Request Forgery Vulnerability in IBM WebSphere Portal (CVE-2016-2901)

http://www-01.ibm.com/support/docview.wss?uid=swg21983974

Antonio Ropero

antonior@hispasec.com

Twitter: @aropero

Vulnerabilidad en Cisco TelePresence Communication Server

Cisco ha confirmado una vulnerabilidad en Cisco TelePresence Communication Server (VCS) que podría permitir a un atacante remoto realizar ataques de cross-site request forgery.

El problema se debe a insuficientes protecciones contra ataques CSRF en el código de la aplicación web de Cisco TelePresence Video Communication Server (VCS) lo que podría permitir a un atacante remoto la realización de este tipo de ataques. Este tipo de vulnerabilidades permiten a un atacante ejecutar funcionalidades de una web determinada a través de la sesión de otro usuario en esa web. De esta forma un atacante podría tener acceso al servidor con los mismos permisos que el usuario atacado.

La vulnerabilidad tiene asignado el CVE-2014-6376. Cisco no ha publicado ninguna actualización evitar este problema.

Más información:

Cisco TelePresence Video Communication Server Cross-Site Request Forgery Vulnerability

http://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20151120-tvcs

Antonio Ropero

antonior@hispasec.com

Twitter: @aropero

"Find my Mobile" de Samsung permite a un atacante bloquear el móvil

Se ha anunciado una vulnerabilidad en la función "Find my mobile" de Samsung que podría permitir a un atacante remoto activar sus funcionalidades, de forma que podría hacer que suene o bloquearlo (con un código arbitrario).

 

La función "Find my Mobile" implementada por Samsung en sus dispositivos es un servicio web que proporciona a los usuarios de dispositivos Samsung características para localizar un dispositivo perdido o robado. Esta utilidad incluida también por otros fabricantes (como Apple o Microsoft), permite hacer sonar el dispositivo remoto, borrar su contenido o bloquearlo de forma remota para que nadie más puede conseguir acceso al dispositivo perdido.

El problema, descubierto por Mohamed A. Baset (@SymbianSyMoh), reside en una vulnerabilidad de Cross-Site Request Forgery (CSRF), que podría permitir a un atacante bloquear el dispositivo con un código de su elección. Básicamente, el atacante utilizará el ataque CSRF para engañar al usuario para acceder a un enlace o url que contiene peticiones maliciosas o no autorizadas. El atacante podrá llegar a bloquear el móvil del usuario con un código de su elección, lo que forzaría al usuario a realizar una recuperación del código de bloqueo a través de su cuenta Google.

El enlace malicioso tiene los mismos privilegios que el usuario autorizado para llevar a cabo una tarea no deseada en el nombre de la víctima. Las vulnerabilidades de Cross-site Request Forgery (CSRF) permiten a un atacante ejecutar funcionalidades de una web determinada a través de la sesión  activa en esa web de otro usuario.

El investigador ha proporcionado pruebas de concepto en forma de vídeos que detallan como llevar a cabo el ataque y los efectos que puede tener. Se ha asociado el CVE-2014-8346 a esta vulnerabilidad. 

https://www.youtube.com/watch?v=YufuOYQoDOY

https://www.youtube.com/watch?v=Q3adkpOEjyI

Más incormación:

Vulnerability Summary for CVE-2014-8346

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-8346

Samsung FindMyMobile Service Vulnerabilities Demonstration

https://www.youtube.com/watch?v=YufuOYQoDOY

Samsung FindMyMobile Service Vulnerabilities Demonstration Live

https://www.youtube.com/watch?v=Q3adkpOEjyI

Antonio Ropero

antonior@hispasec.com

Twitter: @aropero

Vulnerabilidad Cross-Site Request Forgery en Bugzilla

Se ha anunciado una vulnerabilidad en Bugzilla (versiones 2.0 a 4.4.2 y 4.5.1 a 4.5.2) que podría permitir a un atacante remoto la realización de ataques cross-site request forgery. También existe otro problema al permitir la inserción de caracteres de control.

Bugzilla es una herramienta de seguimiento de errores de código abierto, basada en web, y muy utilizada por empresas de desarrollo de software para sus proyectos. Además de la gestión de fallos y vulnerabilidades, también permite determinar la prioridad y severidad de los mismos, agregar comentarios y propuestas de solución, designar responsables para cada uno de ellos, enviar mensajes de correo para informar de un error, etc.

El formulario de autenticación no tiene los adecuados controles para la protección Cross-Site Request Forgery (CVE-2014-1517). Este tipo de vulnerabilidad permite a un atacante ejecutar funcionalidades de una web determinada a través de la sesión de otro usuario en esa web. De esta forma un atacante podría tener acceso a los reportes del usuario atacado.

Por otra parte Bugzilla permite la inserción de caracteres de control peligrosos, especialmente en comentarios. Si ese texto, que puede parecer seguro, se copia a un terminal (como xterm o gnome-terminal) se puede provocar la ejecución de comandos.

Las correcciones para estos problemas se encuentran incluidas en las versiones 4.0.12, 4.2.8, 4.4.3 y 4.5.3, disponibles desde:

http://www.bugzilla.org/download/

Más información:

4.5.3, 4.4.3, 4.2.8, and 4.0.12 Security Advisory

http://www.bugzilla.org/security/4.0.11/

Antonio Ropero

antonior@hispasec.com

Twitter: @aropero

Vulnerabilidad Cross-Site Request Forgery en routers D-Link DIR-600L

Se ha anunciado una vulnerabilidad en los routers D-Link DIR-600L, que podría permitir la realización de ataques de cross-site request forgery.

La aplicación web del router puede permitir a los usuarios realizar determinadas acciones mediante peticiones http sin las adecuadas validaciones. Esto podría permitir la realización de ataques del tipo cross-site request forgery, que podría permitir por ejemplo el cambio de credenciales administrativas cuando un usuario autenticado visite una página web especialmente creada.

Este tipo de vulnerabilidad permite a un atacante ejecutar funcionalidades de una web determinada a través de la sesión de otro usuario en esa web. Su mecanismo es sencillo, pero entender como funciona y su impacto no lo es y mucho menos para profesionales ajenos al mundo de la seguridad. El problema reside en que en muchas ocasiones se tiende a infravalorar la peligrosidad de este tipo de fallos.

Se ha publicado una prueba de concepto del problema, disponible en:

http://www.exploit-db.com/exploits/32385/

Esquema de funcionamiento de ataques Cross-Site Request Forgery (CSRF)

Más información:

Dlink DIR-600L Hardware Version AX Firmware Version 1.00 - CSRF Vulnerability

http://www.exploit-db.com/exploits/32385/

Antonio Ropero

antonior@hispasec.com

Twitter: @aropero