Se ha anunciado la existencia de una vulnerabilidad en ColdFusion, que
puede ser explotada por usuarios maliciosos para construir ataques de
Cross-Site Scripting contra los visitantes del web.
La vulnerabilidad está provocada por un problema de validación de
entradas en los procesos por defecto de tratamiento de errores. Esto
podrá ser explotado a través de la inclusión de código script
arbitrario en el campo “Referer” de la cabecera HTTP.
El sitio web estará vulnerable ante esta vulnerabilidad si emplea las
páginas por defecto ColdFusionMX Site-Wide Error Handler o
ColdFusionMX Missing Template Handler.
Esta vulnerabilidad afecta a las siguientes versiones:
* ColdFusion MX 6.0 y 6.1 (Todas las ediciones)
* ColdFusion MX 6.0 J2EE (Todas las ediciones)
* ColdFusion MX 6.1 J2EE (Todas las ediciones)
* ColdFusion 5.0 y versiones anteriores
Macromedia ha publicado los siguientes parches para evitar esta
vulnerabilidad:
Para ColdFusion MX 6.1
http://download.macromedia.com/pub/security/coldfusion/61/mpsb03-06_6_1.zip
Para ColdFusion MX 6.0
Actualizar a la versión 6.1 y aplicar el parche anterior:
ColdFusion 5.0 y anteriores
http://download.macromedia.com/pub/security/coldfusion/mpsb03-06_errorpage.zip
antonior@hispasec.com
Más información:
Security Patch available for ColdFusion MX/ColdFusion cross-site scripting vulnerability with default error handlers
http://www.macromedia.com/devnet/security/security_zone/mpsb03-06.html
Deja un comentario