Miembros de
Boletines de Vulnerabilidades |
Vulnerabilidades en Sophos Web Appliance |
|
Clasificación de la vulnerabilidad |
|
| Propiedad | Valor |
| Nivel de Confianza | Oficial |
| Impacto | Ejecucion remota de codigo |
| Dificultad | Avanzado |
| Requerimientos del atacante | Acceso remoto con cuenta |
Información sobre el sistema |
|
| Propiedad | Valor |
| Fabricante afectado | Comercial Software |
| Software afectado | Sophos Web Appliance (versiones 3.7.8.1 y anteriores) |
Descripción |
|
|
Se han anunciado varias vulnerabilidades en Sophos Web Appliance (versiones 3.7.8.1 y anteriores), que podrían permitir a un usuario remoto construir ataques de cross-site scripting, obtener archivos del sistema y en caso de usuarios autenticados ejecutar comandos arbitrarios. Los productos de la familia Sophos Web Appliance permiten una protección contra programas maliciosos de Internet, filtrado de direcciones web y control del contenido en un dispositivo de seguridad para la puerta de enlace de Internet. El primero de los problemas (con CVE-2013-2641) puede permitir a un usuario remoto visualizar archivos remotos del sistema atacado, esto podría emplearse para conseguir archivos de configuración, contraseñas en texto claro o Ids de sesiones. Otro problema (con CVE-2013-2642) podría permitir a un usuario remoto autenticado ejecutar comandos del sistema mediante una petición específicamente creada a la función Diagnostic Tools. Por último (con CVE-2013-2643), se han detectado múltiples scripts que no filtran adecuadamente el código HTML introducido por el usuario antes de devolver la entrada, lo que permitiría la realización de ataques cross-site scripting. |
|
Solución |
|
| Sophos ha publicado la actualización 3.7.8.2 para corregir estos problemas, que puede descargarse desde la página "Configuration > System > Updates" del sistema. Se han publicado pruebas de concepto de los problemas anunciados, por lo que es importante la actualización de los sistemas afectados. | |
Identificadores estándar |
|
| Propiedad | Valor |
| CVE | CVE-2013-2641 - CVE-2013-2642 |
| BID | |
Recursos adicionales |
|
|
Hispasec http://unaaldia.hispasec.com/2013/04/diversas-vulnerabilidades-en-sophos-web.html#comments |
|
Histórico de versiones |
||
| Versión | Comentario | Fecha |
| 1.0 | Aviso remitido | 2013-04-05 |