Vulnerabilidad

[mrebook]

Ok. pregunta básica… Cómo subo el archivo que contiene el informe?
Saludos…

[mrebook]

Ok. Pregunta básica…. Cómo subo el archivo del informe?

Saludos…

[venzia]

Si es demasiado tocho prueba con rapidshare o megaupload y pegas aqui el link .. pero phpbb se traga post bastante largos  :mrgreen:.
Saludos,

[toni_delafuente]

Hola,

Me sumo a la sorpresa de otros colegas del foro. Me gustaría ver el informe y también podríamos contrastarlo con una auditoría hecha con Nessus, la mayoría de estos programas detectan problemas con diferentes niveles de severidad y basados en unos patrones concretos. Bueno, todo es posible pero veremos que problemas reales derivan del informe.

Muchas gracias por aportar la información.

[cesarista]

Hola,

Me sumo a la sorpresa de otros colegas del foro. Me gustaría ver el informe y también podríamos contrastarlo con una auditoría hecha con Nessus, la mayoría de estos programas detectan problemas con diferentes niveles de severidad y basados en unos patrones concretos. Bueno, todo es posible pero veremos que problemas reales derivan del informe.

Muchas gracias por aportar la información.

+1

P.S: Todo es posible, y de hecho por romper una lanza a favor de mrebook no sería la primera vez que un hilo de un foro termina en una incidencia del jira. Además es verdad que este tipo de ataques son frecuentes y pasan en las mejores familias, y para ello solo mencionar el caso reciente de apache. Veremos.

http://httpd.apache.org/info/css-security/

Un saludo.

–C.

[mrebook]

Este es el Link del Informe de vulnerabilidad…
En espera de sus comentarios…

http://rapidshare.com/files/389701622/Informe_Vulnerabilidad.pdf.html

Saludos…

[toni_delafuente]

Hola Mrbook, gracias por compartir el informe con nosotros.

Lo he revisado detenidamente la sección "SQL injection" ya que las demás son meramente informativas y realmente no veo ningún problema de seguridad.

Parece que Alfresco no hace un chequeo de las inserciones en un formulario en el propio script (o al menos no en ese), pero eso no significa que se produzca un SQL injection ya que puede hacer filtros del contenido que se introduce en un formulario a otros niveles. ¿Has comprobado que se cambia algún registro en la base de datos según las SQL injection que se lanzan? o ¿simplemente obtenemos el error 500?

Que responda un "HTTP/1.1 500 Internal Server Error" puede ser más o menos normal, dependería de la configuración del servidor de aplicaciones o servidor web. Sería interesante ver que error obtienes en el log de Alfresco en cada caso.

Desde mi punto de vista, estos scanners remotos son excesivamente desatendidos y generan información basada en plantillas que puede provocar confusiones. Con esto no quiero decir que no exista algún fallo, pero en este caso no llevo a verlo, igual me equivoco, a ver si los demás ven algo.

Saludos.

[cristinamr]

Pues Toni, que quieres que te diga pero viendo el informe me quedo un poco igual porque, aunque se explica que puede haber ataques no hay nada concluyente, bueno solo te especifica la respuesta:

Response
HTTP/1.1 500 Internal Server Error Server: Apache-Coyote/1.1 Content-Type: text/html;charset=UTF-8 Date: Wed, 24 Mar 2010 23:30:07 GMT Connection: close‍‍

Que en cualquier caso si realmente te da como respuesta un error 500 aunque tenga esa vulnerabilidad tampoco te permite hacer más nada porque desconecta la sesión ¿no?

Quizás se debería hacer alguna prueba para ver cómo responde Alfresco y sobre todo ver el log, porque es bastante probable que, si a parte del error 500 hay algo más, te lo muestre.

Una pregunta tonta: ¿A qué pantalla corresponde ese container.jsp? O sea, una vez te logas (login.jsp) ¿va a ese container.jsp? Porque supongo que al pertenecer al dashboard será una vez autentique el usuario ¿no?

[venzia]

Me uno a la sugerencia de comprobar si se produce algun cambio en el sistema tras estas injecciones sql.
Esperemos que mrbook pueda aportar mas info al respecto para aclarar esta duda existencial (sino tocara probar por nuestra cuenta, que ya no me quedo tranquilo :mrgreen: ).
En cuanto a lo que comenta cristina ..

Una pregunta tonta: ¿A qué pantalla corresponde ese container.jsp? O sea, una vez te logas (login.jsp) ¿va a ese container.jsp? Porque supongo que al pertenecer al dashboard será una vez autentique el usuario ¿no?

Si tienes habilitada la entrada de guest, al acceder este a su dashboard carga el container.jsp si no me equivoco (pues guest a fin de cuentas es un user mas).

Saludos,

[cristinamr]

…Si tienes habilitada la entrada de guest, al acceder este a su dashboard carga el container.jsp si no me equivoco (pues guest a fin de cuentas es un user mas)…

Algo así me imaginaba, pero entonces no sé muy bien donde se puede realizar el ataque dentro del container, porque no sé por qué pero pensaba que el ataque se realizaba a través del longin.jsp y una vez pulsar aceptar, pasa por el cointaner que es el que no comprueba y el que permite esa injection. O algo similar