La compañía Novell ha publicado un parche de actualización para
iChain. Dicho parche corrige diversas vulnerabilidades (además de
otros problemas de funcionamiento general) que pueden ser explotadas
por usuarios maliciosos para secuestrar sesiones de otros usuarios,
provocar denegaciones de servicio o incluso comprometer un sistema
vulnerable.
Este producto de Novell es un servicio para el control centralizado de
los recursos existentes en las corporaciones: aplicaciones, servicios
web y recursos de red. El objetivo de iChain es separar los controles
de seguridad de las aplicaciones y servicios web, de forma que pueda
aplicarse una política de seguridad coherente en toda la red.
El problema de secuestro de sesión se debe a que un usuario puede
secuestrar la sesión de otro si la del nuevo usuario se abre en el
mismo puerto que la del original. La denegación de servicio puede
provocarse utilizando WGET contra el servidor. Wget es una aplicación
gratuita que sirve para descargar archivos mediante HTTP, HTTPS y FTP,
especialmente práctica para ser utilizada desde scripts, tareas
programadas, etc. El producto presenta también las vulnerabilidades
recientemente descubiertas en OpenSSL (referidas a la interpretación
de ASN.1). Dichas vulnerabilidades podrían permitir comprometer un
sistema, aunque aún no hay confirmación sobre la posibilidad de
explotación de este problema.
Se recomienda instalar el parche iChain 2.2 Suport Pack 2 beta,
disponible en la siguiente dirección:
http://support.novell.com/servlet/filedownload/sec/ftf/b1ic22sp2.exe
jcanto@hispasec.com
Más información:
iChain 2.2 Support Pack 2 beta – TID2967175:
http://support.novell.com/cgi-bin/search/searchtid.cgi?/2967175.htm
Vulnerabilidades en OpenSSL en el análisis de ASN.1
http://www.hispasec.com/unaaldia/1801
Deja un comentario