U radu programskog paketa Sybase M-Business Anywhere uočena su tri sigurnosna propusta. Riječ je o paketu za razvoj i prikaz web temeljenih sadržaja i aplikacija na mbilnim uređajima. Nedostaci su vezani uz pogrešku u gsoap modulu, agd komponenti i bilblioteci agsync. Udaljeni napadači mogu ih iskoristiti za povećanje ovlasti i pokretanje proizvoljnog programskog koda. Zlopuporaba podrazumijeva slanje zlonamjerno oblikovanih SOAP, HTTP ili POST zahtjeva. Korisnicima se preporuča korištenje odgovarajuće nadogradnje.

_______________________________________________________________________________

ID upozorenja: ADV-LSS-2011-05-027
Naslov: Tri ranjivosti programskog paketa Sybase M-Business Anywhere
Datum: 2011-06-01
OS: Windows, Linux, Solaris
Programski paket: Sybase M-Business Anywhere
Tip sigurnosnog problema: pokretanje proizvoljnog koda, povecanje ovlasti
Rizik: Velik
_______________________________________________________________________________

[1]  Uvod

U radu programskog paketa Sybase M-Business Anywhere uocene su tri sigurnosne 
ranjivosti. 

Radi se o platformi koja omogucava razvoj i osigurava podrsku za koristenje web temeljenih sadrzaja i aplikacija na mobilnim uredjajima. 

Neke od prednosti su:

- poboljsani korisnicki servisi,
- poboljsavanje produktivnosti i fleksibilnosti,
- smanjivanje pogresaka, 
- smanjivanje ukupnih troskova i dr.

Vise informacija o spomenutom paketu dostupno je na sljedecim web adresama:

http://www.sybase.com/products/allproductsa-z/m-businessanywhere i

http://www.sybase.hr/products.jsp?show=ms⊂=m-businessanywhere.

-------------------------------------------------------------------------------

[2]  Sigurnosni problem

Visestruke sigurnosne ranjivosti, uocene u radu programskog paketa Sybase M-Business 
Anywhere, udaljenim napadacima omogucuju izvrsavanje zlonamjernog programskog koda.
-------------------------------------------------------------------------------

[3]  Sigurnosna zastita

Svim se korisnicima preporuca primjena odgovarajuce zakrpe dostupne na:

http://www.sybase.com/detail?id=1093029.  

-------------------------------------------------------------------------------

[4]  Analiza

Prva od spomenutih ranjivosti posljedica je prepisivanja spremnika u modulu "gsoap.exe". Problem se javlja prilikom obrade posebno oblikovanih "SOAP" paketa s nevazecom oznakom "password" koji su poslani na prikljucke 8093/TCP ili 8094/TCP. Udaljeni napadaci ranjivost mogu iskoristiti za pokretanje proizvoljnog koda.

Drugi sigurnosni nedostatak posljedica je prepisivanja spremnika u funkciji 
"encodeUsername()" unutar modula "agd.exe". Navedena ranjivost se javlja prilikom obrade HTTP paketa poslanih na prikljucke 80/TCP ili 443/TCP. Napadaci mogu iskoristiti opisani problem za pokretanje proizvoljnog koda sa "SYSTEM" privilegijama.

Posljednja ranjivost posljedica je prepisivanja spremnika u modulu "agsync.dll". 
Sigurnosni propust ocituje se prilikom obrade korisnickih imena isporucenih pomocu 
"SOAP" ili "sync" (HTTP) zahtjeva poslanih na prikljucke 80/TCP ili 443/TCP. Udaljeni 
neovlasteni napadaci ranjivost mogu iskoristiti za pokretanje proizvoljnog koda sa 
"SYSTEM" privilegijama.

Spomenute ranjivosti uocene su u inacicama 6.7 i 7.0. Ostale inacice takodjer mogu 
sadrzavati iste ranjivosti.

-------------------------------------------------------------------------------

[5]  Credit

Informacije o propustima otkrili su AbdulAziz Hariri i Luigi Auriemma preko programa 
TippingPoint ZDI.

Tekstovi originalne preporuke nalaze se na sljedecim web adresama:

http://www.vupen.com/english/advisories/2011/1199
http://www.sybase.com/detail?id=1093029
http://www.zerodayinitiative.com/advisories/ZDI-11-154/
http://www.zerodayinitiative.com/advisories/ZDI-11-155/
http://www.zerodayinitiative.com/advisories/ZDI-11-156/

-------------------------------------------------------------------------------

[6]  LSS/ZESOI/FER  

LSS, www.lss.hr - laboratorij za sustave i signale pri Zavodu za elektronicke 
  sustave i obradbu informacija Fakulteta elektrotehnike i racunarstva  
  Sveucilista u Zagrebu  

_______________________________________________________________________________