La librería estándar python «SimpleXMLRPCServer.py» contiene un grave
problema de seguridad que permite que un atacante remoto acceda a datos
y ejecute métodos arbitrarios en el servidor.
Python es un lenguaje de programación sencillo pero extremadamente
potente y versátil, cuya popularidad crece día a día.
Las implementaciones no actualizadas de «SimpleXMLRPCServer.py»,
librería estándar en las versiones recientes de Python, permiten que un
atacante remoto acceda a las interioridades de los objetos registrados,
sus módulos y, posiblemente, otros módulos.
La vulnerabilidad afecta exclusivamente a los servidores XMLRPC que
utilicen el método «register_instance()» para registrar un objeto sin
método «_dispatch()». Los servidores XMLRPC que utilicen
«register_function()» no están afectados.
Esta vulnerabilidad no afecta al servidor de aplicaciones ZOPE, ya que
dispone de su propia implementación XMLRPC. Tampoco afecta a otros
sistema RPC Python, como Pyro o las diversas implementaciones CORBA
disponibles.
El equipo Python ha publicado la versión 2.3.5 de este intérprete,
solucionando la vulnerabilidad en cuestión y unos cincuenta problemas
menores adicionales.
La publicación de la versión 2.4.1 de Python es inminente también.
Hispasec recomienda a todos los usuarios de Python que actualicen a
dicha versión en cuanto sea oficial. Quien no pueda esperar, por
exportar servicios XMLRPC a clientes potencialmente maliciosos, disponen
de un parche público a tal efecto.
Los usuarios de Python 2.2, descatalogada, disponen también de un parche
para su sistema.
jcea@hispasec.com
Más información:
PSF-2005-001 – SimpleXMLRPCServer.py allows unrestricted traversal
http://www.python.org/security/PSF-2005-001/
Python 2.3.5
http://www.python.org/2.3.5/
Parche para Python 2.3 y 2.4
http://www.python.org/security/PSF-2005-001/patch.txt
Parche para Python 2.2
http://www.python.org/security/PSF-2005-001/patch-2.2.txt
11.23 SimpleXMLRPCServer — Basic XML-RPC server
http://docs.python.org/lib/module-SimpleXMLRPCServer.html
Python
http://www.python.org/
Deja un comentario