miércoles, 8 de julio de 2009

Vulnerabilidad de Cross-Site Scripting en IBM Tivoli Identity Manager

Se ha anunciado una vulnerabilidad en IBM Tivoli Identity Manager por la que un atacante remoto podría construir ataques de cross-site scripting.

Tivoli Identity Manager es un producto de IBM destinado a realizar una gestión de la información de usuarios automatizada y basada en políticas que permite gestionar con eficacia cuentas de usuario, permisos de acceso y contraseñas desde su creación hasta su caducidad, en entornos y recursos de IT heterogéneos.

El problema reside en que no se filtran adecuadamente las entradas de código HTML introducidas por el usuario antes de mostrar una respuesta.
Esto podría ser aprovechado por un atacante remoto para insertar código script y HTML en la sesión del navegador del usuario atacado.

El código se origina desde el sitio que ejecuta Tivoli Identity Manager en el contexto de seguridad de este sitio. Con ello el atacante podría acceder a las cookies (incluyendo las de autenticación) y a información recientemente enviada, además de poder realizar acciones en el sitio haciéndose pasar por la víctima.

IBM ha publicado las actualizaciones: APARs IZ54310 y IZ54311; Interim Fix 5.0.0.6-TIV-TIM-IF0028 disponibles desde:
http://www-01.ibm.com/support/docview.wss?uid=swg24023640


Antonio Ropero
antonior@hispasec.com


Más información:

IBM Tivoli Identity Manager, ver 5.0, Interim Fix 5.0.0.6-TIV-TIM-IF0028
http://www-01.ibm.com/support/docview.wss?uid=swg24023640


No hay comentarios:

Publicar un comentario en la entrada