Falla en iPlanet deja vulnerables a usuarios de Terra

Falla en iPlanet deja vulnerables a usuarios de Terra
	VSantivirus No. 1059 Año 7, Domingo 1 de junio de 2003 Falla en iPlanet deja vulnerables a usuarios de Terra http://www.vsantivirus.com/vul-iplanet-terra.htm Por Redacción VSAntivirus vsantivirus@videosoft.net.uy El servidor de correo iPlanet Messaging de SUN Microsystems es utilizado por millones de usuarios en el mundo entero, y en España por Terra.es (Terra Networks) entre otros. Soporta protocolos POP3, SMTP, IMAP4 y servicios de correo basados en web. Según un reciente reporte publicado en varios sitios de seguridad, este servidor sufre una vulnerabilidad del tipo CROSS-SITE-SCRIPTING (XSS). Esta falla permite a un atacante introducir en el campo de un formulario o código embebido en una página, un script (perl, php, javascript, asp) que tanto al almacenarse como al mostrarse en el navegador, puede provocar la ejecución de un código no deseado. El problema se produciría al utilizar los servicios de correo web (webmail). Para identificar la sesión de usuario, iPlanet utiliza un código único (SID) de 16-bit. El SID es enviado en forma de parámetro dentro de la URL solicitada (Uniform Resources Locator o Localizador Uniforme de Recursos, un "apuntador" a la ubicación de cualquier archivo, como por ejemplo una página HTML), no existiendo necesidad de usar cookies. Por otra parte, iPlanet abre los archivos HTML asociados a los mensajes, dentro del contexto del propio servidor, desde donde también es accesible el SID. Sin embargo, una vulnerabilidad en el software permite incluir un adjunto que contenga un script en un correo electrónico y luego ejecutarlo en ese mismo contexto, o sea dentro del servidor. Ese script puede entonces obtener el SID del usuario que recibe el mensaje, en el momento que este lo abre para leerlo. Cómo iPlanet no comprueba correctamente el URL, puede hacerse que el script envíe ese SID al atacante, el cuál podrá usarlo luego para acceder a esa cuenta, agregando la información faltante (nombre de usuario, que suele ser la dirección electrónica). Esta falla puede explotarse en cualquier portal de correo web que utilice iPlanet. En sitios como Terra.es, para que el ataque tenga éxito deben usarse unos pocos trucos más para sortear algunos mecanismos de seguridad extra (cortafuego incluido), que realizan un filtrado básico. Este no es obstáculo para cualquier atacante con mínimos conocimientos. No hay solución oficial para este tema, por lo que se sugiere no acceder al correo de estos servicios desde el portal web, utilizando en su lugar los servicios POP3 y SMTP (Outlook Express, etc.). Reportado por: Hugo Vázquez Caramés y Toni Cortés Martínez [http://www.infohacking.com] (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com