Vulnerables los servidores con JRun 2.3

Allaire JRun es una suite de desarrollo de aplicaciones basadas en
páginas JSP y Servlets en Java. Tras la instalación de este software
en el servidor todo el sistema de archivos quedará accesible para
cualquier visitante mediante simples peticiones web.
Se han descubierto varias vulnerabilidades en el motor JRun 2.3 que
permiten la visualización del código fuente de cualquier archivo que
se encuentre en el árbol del servidor web. Pero mediante el uso de
esta misma vulnerabilidad también es posible consultar archivos que se
encuentren fuera de la estructura del web, bajo el sistema de archivos
del servidor.

La potencia que ofrecen las páginas .JSP junto con servlets en Java
hace que empiece a extenderse el uso de esta tecnología, pero mediante
una URL especialmente construida y haciendo uso del servlet SSIFilter
un usuario remoto podrá conseguir acceso a cualquier archivo del
servidor. Como es habitual, esto se produce ya que no se filtra de
forma adecuada las rutas que incluyen la cadena «../», lo que hace que
una petición se pueda escapar del servidor web.

La vulnerabilidad se puede reproducir como muestran los siguientes
ejemplos de URLs maliciosas:

http://servidor.jrun/servlet/com.livesoftware.jrun.plugins.ssi.SSIFilter
/../../test.jsp

http://servidor.jrun/servlet/com.livesoftware.jrun.plugins.ssi.SSIFilter
/../../../../../../../boot.ini

http://servidor.jrun/servlet/ssifilter/../../test.jsp

http://servidor.jrun/servlet/ssifilter/../../../../../../../boot.ini

Allaire ha publicado un parche destinado a corregir esta
vulnerabilidad.

Antonio Ropero
antonior@hispasec.com

Más información:

Parche para Windows 95/98/NT/2000:
http://download.allaire.com/jrun/jr233p_ASB00_28_29.zip

Parche para UNIX/Linux:
http://download.allaire.com/jrun/jr233p_ASB00_28_29.tar.gz

Aviso de seguridad de Foundstone:
http://www.foundstone.com/cgi-bin/display.cgi?Content_ID=230

JRun Homepage:
http://www.allaire.com/products/jrun/index.cfm