sábado, 17 de febrero de 2007

Vulnerabilidades de cross-site scripting en ColdFusion MX

Adobe ha anunciado la existencia de dos vulnerabilidades en ColdFusion MX, que pueden ser empleadas por atacantes para construir ataques de cross-site scripting.

El primero de los problemas reside en que las entradas pasadas a determinados parámetros no se limpia adecuadamente antes de ser devuelta al usuario. Esto podrá ser empleado por un atacante para ejecutar código html arbitrario y código script code en una sesión de usuario del navegador. La explotación exitosa requiere que no esté habilitado Global Script Protection.

Este problema afecta a ColdFusion MX 7. la actualización para corregirlo está disponible en:
http://download.macromedia.com/pub/security/bulletins/apsb07-03/apsb07-03.zip

El segundo de los problemas reside en una vulnerabilidad en la página de error por defecto de ColdFusion, que puede permitir a un atacante evitar la protección cross-site scripting. Se ven afectados ColdFusion MX 7.X y ColdFusion MX 6.X.
Adobe recomienda sustituir el detail.cfm disponible en las siguientes direcciones:
Para ColdFusion MX 7:
http://download.macromedia.com/pub/security/bulletins/apsb07-04/CFMX7_APSB07-04.zip
Para ColdFusion MX 6.1:
http://download.macromedia.com/pub/security/bulletins/apsb07-04/CFMX6_APSB07-04.zip
las localizaciones del archivos son:
Para Windows: {cf_root}\wwwroot\WEB-INF\exception\detail.cfm
Para Unix/Linux: {cf_root}/wwwroot/WEB-INF/exception/detail.cfm


Laboratorio Hispasec
laboratorio@hispasec.com


Más información:

Patch available for ColdFusion MX 7 cross-site scripting issue when Global Script Protection is not enabled
http://www.adobe.com/support/security/bulletins/apsb07-03.html

Patch available for ColdFusion MX cross-site scripting issue
http://www.adobe.com/support/security/bulletins/apsb07-04.html