Vulnerabilidad en IBM WebSphere

El servidor de aplicaciones web de IBM posee una vulnerabilidad que
puede permitir a un atacante la obtención del código fuetne de
cualquier archivo alojado en el servidor web.
IBM WebSphere emplea Servlets de Java para analizar los distintos
tipos de páginas que pueden encontrarse alojadas (HTML, JSP, JHTML,
etc). Además incluye diferentes tipo de servlets para el tratamiento
de cada uno de los diferentes tipos de páginas. Por otra parte, existe
un servlet por defecto que se llama en caso de que el archivo
solicitado no tenga un analizador registrado.

El problema radica en la posibilidad de forzar la funcionalidad del
servlet por defecto si a la ruta de la URL se le añade el prefijo
«/servlet/file/», lo que causa que las páginas se muestren sin ser
tratadas o compiladas.

El mayor problema de esta vulnerabilidad, y de otras similares que han
aparecido en las últimas fechas, es la facilidad con la que un
atacante puede explotarlas y hacer uso de la información obtenida. Es
sencillo comprobar si un sistema está afectado, basta añadir el
directorio «/servlet/file/» a la URL para provocar el fallo. Por
ejemplo si se tiene la página http://servidor_afectado/acceso.jsp
bastará con introducir la URL
http://servidor_afectado/servlet/file/acceso.jsp para visualizar el
código fuente de la página acceso.jsp.

Para evitar el problema se debe eliminar InvokerServlet de la
aplicación web. IBM proporcionará un parche (APAR PQ39857) que está
disponible en breve en la dirección
http://www-4.ibm.com/software/webservers/appserv/efix.html

Más información:

Security Focus:
http://www.securityfocus.com/vdb/?id=1500

Foundstone:
http://www.foundstone.com/FS-072400-6-IBM.txt