Vulnerabilidad XEE en Automated Logic Corporation ALC WebCTRL, Liebert SiteScan, Carrier i-VU

Fecha de publicación: 
01/09/2017
Importancia: 
3 - Media
Recursos afectados: 
  • Liebert SiteScan Web versión 6.5 y anteriores.
  • ALC WebCTRL versión 6.5 y anteriores
  • Carrier i-Vu versión 6.5 y anteriores
Descripción: 

El investigador de seguridad Evgeny Ermakov de Kaspersky Lab ha descubierto una vulnerabilidad de tipo XML External Entity (XXE).  La explotación de esta vulnerabilidad podría permitir a un atacante la divulgación de datos confidenciales, denegación de servicio (DoS), suplantación de una solicitud desde un dispositivo de distribución, escaneado de puertos desde la perspectiva de la máquina donde se encuentra el analizador, y otros impactos del sistema.

Solución: 

ALC ha publicado los siguientes parches:

  • WebCTRL 6.0, Cumulative Patch #11
  • WebCTRL 6.1, Cumulative Patch #4
  • WebCTRL 6.5, Cumulative Patch #5

Estos parches pueden obtenerse como usuario registrado a través de la web de Automated Logic o llamando al teléfono de soporte: 770-429-3002.

  • i-Vu 6.0, Cumulative Patch #11
  • i-Vu 6.5, Cumulative Patch #5

Estos parches pueden obtenerse llamando al teléfono de soporte: 800-277-9852

Detalle: 

Se trata de una vulnerabilidad de tipo XEE (XML External Entity). La exitosa explotación de esta vulnerabilidad podría permitir a un atacante introducir entradas maliciosas en WebCTRL, i-Vu o SiteScan Web a través de un analizador XML débilmente configurado, lo que hace que la aplicación ejecute código arbitrario o divulgue contenido de archivos desde un servidor o red conectada.

Se ha reservado el identificador CVE-2016-5795 para esta vulnerabilidad.