ColdFusion es un popular software de servidor de aplicaciones web,
ampliamente usado en entornos corporativos e intranets por sus
posibilidades de programación. Pero se ha descubierto un conjunto
de etiquetas no documentadas que podrían causar problemas en servidores
que alojen páginas programadas por terceros.
El servidor de ColdFusión incluye un gran número de funciones y etiquetas
CFML no documentadas que se usan en el Administrador de ColdFusion. El
Administrador de ColdFusion es una aplicación web empleada para establecer
diversas opciones del servidor. En dicho entorno, el acceso a estas
funcionalidades no documentadas está restringido a las personas con
privilegios administrativos, sin embargo, las funciones y tags se pueden
usar dentro de cualquier documento independientemente de su situación.
Como resultado de esto, los desarrolladores con permisos para crear
aplicaciones web y plantillas ejecutables sobre un ColdFusion Server
pueden hacer uso de estas funciones y etiquetas no documentadas para
conseguir acceso no autorizado a configuraciones administrativas. En
lo que se incluye el registro del sistema, bases de datos y
configuraciones avanzadas de seguridad.
En la mayoría de los casos, esto no representa ningún peligro para la
seguridad ya que son los propios desarrolladores de confianza quienes
tienen acceso al servidor. Sin embargo, en un entorno de aplicaciones
hospedadas, como un ISP o un centro corporativo que de hospedaje a
múltiples aplicaciones desarrolladas por programadores independientes
sobre un único servidor, las etiquetas no documentadas pueden
representar un riesgo de acciones maliciosas por parte de aquellos
desarrolladores que hospeden aplicaciones en el servidor. Por ejemplo,
mediante la etiqueta CFNEWINTERNALREGISTRY un programador puede tener
control total sobre el registro del sistema.
Las etiquetas no documentadas pueden saltarse los dos niveles de
seguridad de ColdFusión, básico y avanzado. En la actualidad no se
pueden deshabilitar funciones de ColdFusión. En general, crear una
aplicación hospedada segura requiere el uso de numerosas capas de
seguridad como red, firewall, sistema operativo, servidor ColdFusion,
servidor web y seguridad en el servidor de bases de datos. Allaire
recomienda a los administradores del servidor restringir el acceso
a los desarrolladores de confianza y las aplicaciones testadas para
así prevenir la instalación de código malicioso.
Más información:
Allaire: http://www.allaire.com/handlers/index.cfm?ID=11714&Method=Full
Bugtraq: http://www.securityfocus.com/vdb/bottom.html?vid=550
Deja un comentario