Avisos 27 de February, 2012

Múltiples vulnerabilitats a Movable Type

El fabricant de programari Six Apart ha publicat una actualització per al seu gestor de continguts orientat a la creació de blocs Movable Type. Aquesta actualització soluciona diverses vulnerabilitats, una d'elles permetria l'execució de comandes des de remot en el sistema afectat.

Recursos afectats:
Movable Type 5, versions anteriors a 5.13, 5.07
 Movable Type 4, versions anteriors a 4.38.
 

Impacte: Injecció de comandes de sistema, segrest de sessió, execució de codi a llocs creuats (XSS), i falsificació de petició a llocs creuats (CSRF).

Solució: Actualitzar a la nova versió del gestor de continguts que soluciona les vulnerabilitats reportades, seguint les instruccions de l'avís publicat pel fabricant.

Detall:

Vulnerabilitat d'injecció de comandes de sistema operatiu, al sistema de gestió d'arxius. El problema més greu permet l'execució arbitrària de comandes al sistema operatiu, per part d'usuaris que tenen permisos per iniciar sessió en la interfície d'administració, i de càrrega de fitxers.
 
Segrest de la sessió i CSRF als mòduls de comentaris i comunitat. Un atacant remot podria segrestar la sessió d'usuari, o executar codi de client arbitrari al navegador de la víctima sota determinades circumstàncies.
 
Vulnerabilitat XSS associada a les plantilles, aquestes no escapen correctament les variables d'entrada abans d'enviar-les cap al navegador del client. Un atacant remot podria injectar codi de client en el navegador d'un usuari, si el convenç per visitar un enllaç determinat.
 
Vulnerabilitat XSS associada al fitxer mt-wizard.cgi. Per més informació, aquesta vulnerabilitat va ser reportada per Trustwave (TWSL2012-003).
 
No hi han identificadors CVE per les vulnerabilitats corregides.
 
 
 
Referències
 Avís de actualització del fabricant
 http://www.movabletype.org/documentation/appendices/release-notes/513.html
 Avís de seguretat a la pàgina web Security Focus
 http://www.securityfocus.com/bid/52138/
 Avís de seguretat dels investigadors per la vulnerabilitat al fitxer mt-wizard.cgi.
 https://www.trustwave.com/spiderlabs/advisories/TWSL2012-003.txt

Publicat a: Avisos
Tags: Seguretat