Se ha anunciado una vulnerabilidad en IBM WebSphere Portal, que podría permitir a usuarios maliciosos construir ataques de cross-site scripting.
El problema reside en el centro de búsqueda ("Search Center") debido a que no trata adecuadamente las entradas antes de ofrecer los resultados al usuario. Esto podría permitir a un atacante lograr la ejecución de código script arbitrario en el navegador del usuario, en el contexto del sitio afectado.
IBM ha confirmado la vulnerabilidad en IBM WebSphere Portal versión 7.0.0.1 sobre AIX, IBM i, Linux, Solaris, Windows y z/OS. Se ha publicado la actualización CF004 disponible desde http://www.ibm.com/support/docview.wss?uid=swg24029452
Esta actualización además corrige un gran número de problemas relacionados con la funcionalidad del producto.
Más Información:
Fixes integrated in WebSphere Portal V7.0.0.1 Combined Cumulative Fixes
http://www.ibm.com/support/docview.wss?uid=swg24029452
El problema reside en el centro de búsqueda ("Search Center") debido a que no trata adecuadamente las entradas antes de ofrecer los resultados al usuario. Esto podría permitir a un atacante lograr la ejecución de código script arbitrario en el navegador del usuario, en el contexto del sitio afectado.
IBM ha confirmado la vulnerabilidad en IBM WebSphere Portal versión 7.0.0.1 sobre AIX, IBM i, Linux, Solaris, Windows y z/OS. Se ha publicado la actualización CF004 disponible desde http://www.ibm.com/support/docview.wss?uid=swg24029452
Esta actualización además corrige un gran número de problemas relacionados con la funcionalidad del producto.
Más Información:
Fixes integrated in WebSphere Portal V7.0.0.1 Combined Cumulative Fixes
http://www.ibm.com/support/docview.wss?uid=swg24029452
No entiendo como se producen estos fallos todavía, el tratamiento de las entradas y su validación antes de ser enviadas es de primero de carrera
ResponderBorrarHola Regalar me gusta,
ResponderBorrarun problema con validación de las los campos de entrada de un sitio web se replica de manera muy sencilla,
ejemplo:
Se cuenta con un campo que permite realizar un comentario en el blog, y el atacante ingresa codigo javascript manipulado especificamente para ejecutarse al momento de leer el comentario o dar clic en uno de los elementos del mismo.
Esto podria permitir la ejecucion de codigo malicioso, y quizas realizar algun robo de cookies, llamado a otros metodos javascript del mismo sitio web atacado, etc.
Para prevenir este tipo de problemas, se deben de formar clases encargadas de validar las entradas de todos los campos recibidos en el sitio web, hablando de inputs, variables get, variables post, etc.
Saludos