U radu aplikacije RSA SecurID Software Token uočen je sigurnosni propust. Radi se o aplikaciji koja omogućava zaštitu osjetljivih podataka autentikacijom korisnika. Spomenuta ranjivost posljedica je nepravilnog načina učitavanja određenih biblioteka. Napadači ju mogu iskoristiti za kompromitaciju korisničkog sustava, a uspješna zloupotreba omogućuje pokretanje proizvoljnog koda. Budući da je odgovarajuća nadogradnja dostupna, svim se korisnicima savjetuje njezina primjena.

_______________________________________________________________________________

ID upozorenja: ADV-LSS-2011-12-068
Naslov: Ranjivost programskog paketa RSA SecurID Software Token
Datum: 2011-12-23
OS: Windows
Programski paket: RSA SecurID Software Token
Tip sigurnosnog problema: pokretanje proizvoljnog programskog koda
Rizik: Veliki
_______________________________________________________________________________

[1]  Uvod

Prilikom upotrebe programskog paketa RSA SecurID Software Token uocena je sigurnosna ranjivost.

RSA SecurID Software Token je aplikacija koja se koristi za osiguravanje pouzdanijeg stupnja autentikacije korisnika pri koristenju Internet bankarstva.

Bitnije od karakteristika su:
- omogucuje zastitu osjetljivih podataka na osnovu dvaju faktora: 
  ono Å¡to korisnik zna (lozinka ili PIN) i ono cime se korisnik sluzi (token ili kartica)
- omogucuje automatizaciju za integraciju s vodecim VPN klijentima,
- instalacija je jedostavna,
- nadogradnja je brza,
- daje mogucnost koristenja posebnog Windows citaca zaslona za slabovidne korisnike i dr.

Dodatne informacije dostupne su na sljedecoj web adresi:

http://www.rsa.com/node.aspx?id=1313

-------------------------------------------------------------------------------

[2]  Sigurnosni problem

Problem uocen u radu paketa RSA SecurID Software Token napadacima omogucuje izvrsavanje proizvoljnog programskog koda.

-------------------------------------------------------------------------------

[3]  Sigurnosna zastita

Svim se korisnicima preporuca nadogradnja na inacicu 4.1.1.

-------------------------------------------------------------------------------

[4]  Analiza

Ranjivost uocena u radu programskog paketa RSA SecurID Software Token javlja se kao 
posljedica toga sto aplikacija otvara biblioteke (npr. wintab32.dll) na nesiguran nacin. Napadaci to mogu iskoristiti za ucitavanje proizvoljnih biblioteka navodeci korisnika na otvaranje Software Token datoteke ".sdtid" s lokalnog ili udaljenog WebDAV ili SMB posluzitelja.

Uspjesna zloupotreba omogucuje pokretanje proizvoljnog koda.

Ranjivost je potvrdjena u inacici 4.1.0.545 i inacicama prije inacice 4.1.1.

-------------------------------------------------------------------------------

[5]  Credit

Informacije o propustu otkrio je:

Parvez Anwar.

Tekst izvorne preporuke nalazi se na sljedecoj web adresi:

RSA:
http://seclists.org/bugtraq/2011/Dec/att-88/ESA-2011-039.txt

-------------------------------------------------------------------------------

[6]  LSS/ZESOI/FER  

LSS, www.lss.hr - laboratorij za sustave i signale pri Zavodu za elektronicke 
  sustave i obradbu informacija Fakulteta elektrotehnike i racunarstva  
  Sveucilista u Zagrebu  

_______________________________________________________________________________