Detalji

U radu programskog paketa Contao uočena je sigurnosna ranjivost. Radi se o sustavu koji služi za upravljanje web sadržajem (eng. content management system), ranije poznatom pod nazivom TYPOlight. Navedena ranjivost javlja se kao posljedica neispravne obrade ulaznih podataka. Riječ je o podacima koji su predani preko HTTP zaglavlja "X_FORWARDED_FOR". Napadači spomenutu ranjivost mogu iskoristiti za umetanje proizvoljnog HTML ili skriptnog koda. Budući da je dostupna odgovarajuća nadogradnja, svim se korisnicima preporuča njezina primjena.

_______________________________________________________________________________

ID upozorenja: ADV-LSS-2011-01-003
Naslov: Uocena ranjivost u radu programskog paketa Contao
Datum: 2011-01-19
OS: Windows, Linux, Mac OS, BSD, Solaris 
Programski paket: Contao
Tip sigurnosnog problema: XSS napad 
Rizik: Srednji
_______________________________________________________________________________

[1]  Uvod

Prilikom upotrebe programskog paketa Contao uocen je sigurnosni nedostatak.

Contao je jedan od popularnijih open source sustava koji sluzi za upravljanje web sadrzajem (eng. content management system, CMS). Prethodno je bio poznat pod imenom TYPOlight.

Bitnije od karakteristika su:

- unaprijed ugradjeni moduli (kao npr. vijesti, kalendar, forum i dr.),
- koristi Ajax  tehnologiju,
- Web 2.0 podrska, i dr.

Vise detalja o navedenom programskom paketu dostupno je na sljedecoj web adresi:

http://www.contao.org/

-------------------------------------------------------------------------------

[2]  Sigurnosni problem

Navedena sigurnosna ranjivost, nastala zbog nepravilne obrade pojedinih ulaznih podataka, zlonamjernim korisnicima omogucuje izvodjenje XSS napada.

-------------------------------------------------------------------------------

[3]  Sigurnosna zastita

Svim se korisnicima, u svrhu zastite, savjetuje nadogradnja na inacicu 2.9.3.  

-------------------------------------------------------------------------------

[4]  Analiza

Sigurnosni propust javlja se kao posljedica neispravne provjere ulaznih podataka 
predanih preko HTTP zaglavlja "X_FORWARDED_FOR". Napadaci ranjivost mogu iskoristiti za umetanje proizvoljnog HTML ili skriptnog koda koji ce se izvrsiti u korisnikovom pregledniku u kontekstu doticne stranice kada se gledaju zlonamjerni podaci.

Ranjivost je uocena u inacici 2.9.2, no postoji mogucnost da i ostale inacice sadrze 
istu ranjivost.

-------------------------------------------------------------------------------

[5]  Credit

Informacije o navedenom sigurnosnom propustu objavio je:

David Vieira-Kurz, MajorSecurity.

Tekstovi izvorne preporuke nalaze se na sljedecim web adresama:

http://www.contao.org/news/items/contao-2_9_3.html

http://dev.contao.org/issues/2751

-------------------------------------------------------------------------------

[6]  LSS/ZESOI/FER  

LSS, www.lss.hr - laboratorij za sustave i signale pri Zavodu za  elektronicke 
  sustave i obradbu informacija Fakulteta elektrotehnike i racunarstva  
  Sveucilista u Zagrebu  

_______________________________________________________________________________

Idi na vrh