1.5 CVE-2013-0525

XSS

 

Varias vulnerabilidades de secuencias de comandos entre sitios (XSS) en IBM iNotes 8.5.x permiten a los usuarios locales inyectar secuencias de comandos web arbitrarias o HTML a través de un archivo de correo compartido, también conocido como SPR DKEN8PDNTX.
https://nvd.nist.gov/vuln/detail/CVE-2013-0525

Categorías

CWE-79 : Neutralización inadecuada de la entrada durante la generación de la página web ('Cross-site Scripting')
El software no neutraliza o neutraliza incorrectamente la entrada controlable por el usuario antes de colocarla en la salida que se utiliza como página web que se sirve a otros usuarios. "XSS" es una abreviatura común de Cross-Site Scripting. "Inyección HTML" se utiliza como sinónimo de XSS almacenado (Tipo 2). En los primeros años tras el descubrimiento inicial del XSS, "CSS" era un acrónimo comúnmente utilizado. Sin embargo, esto causaría confusión con "Cascading Style Sheets", por lo que el uso de este acrónimo ha disminuido significativamente. Utilice herramientas de análisis estático automatizadas que se centren en este tipo de debilidades. Muchas técnicas modernas utilizan el análisis de flujo de datos para minimizar el número de falsos positivos. Esta no es una solución perfecta, ya que la precisión y la cobertura del 100% no son factibles, especialmente cuando hay múltiples componentes involucrados. Utilice la hoja de trucos XSS [REF-714] o las herramientas de generación de pruebas automatizadas para ayudar a lanzar una amplia variedad de ataques contra su aplicación web. La hoja de trucos contiene muchas variaciones sutiles de XSS que están específicamente dirigidas contra las defensas débiles de XSS. Comprenda todas las áreas potenciales en las que pueden entrar entradas no confiables en su software: parámetros o argumentos, cookies, cualquier cosa leída de la red, variables de entorno, búsquedas inversas de DNS, resultados de consultas, cabeceras de peticiones, componentes de URL, correo electrónico, archivos, nombres de archivos, bases de datos y cualquier sistema externo que proporcione datos a la aplicación. Recuerde que estas entradas pueden obtenerse indirectamente a través de llamadas a la API. Para cualquier comprobación de seguridad que se realice en el lado del cliente, asegúrese de que estas comprobaciones se duplican en el lado del servidor, con el fin de evitar el CWE-602. Los atacantes pueden eludir las comprobaciones del lado del cliente modificando los valores después de que se hayan realizado las comprobaciones, o cambiando el cliente para eliminar las comprobaciones del lado del cliente por completo. Entonces, estos valores modificados se enviarían al servidor. Si está disponible, utilice mecanismos estructurados que impongan automáticamente la separación entre datos y código. Estos mecanismos pueden ser capaces de proporcionar las citas pertinentes, la codificación y la validación de forma automática, en lugar de confiar en el desarrollador para proporcionar esta capacidad en cada punto donde se genera la salida. Con Struts, escriba todos los datos de los beans de formulario con el atributo filter del bean establecido en true. Para ayudar a mitigar los ataques XSS contra la cookie de sesión del usuario, configure la cookie de sesión para que sea HttpOnly. En los navegadores que soportan la función HttpOnly (como las versiones más recientes de Internet Explorer y Firefox), este atributo puede evitar que la cookie de sesión del usuario sea accesible a los scripts maliciosos del lado del cliente que utilizan document.cookie. Esta no es una solución completa, ya que HttpOnly no es soportado por todos los navegadores. Más importante aún, XMLHTTPRequest y otras potentes tecnologías de los navegadores proporcionan acceso de lectura a las cabeceras HTTP, incluyendo la cabecera Set-Cookie en la que se establece la bandera HttpOnly. Cuando el conjunto de objetos aceptables, como los nombres de archivo o las URL, es limitado o conocido, cree un mapeo desde un conjunto de valores de entrada fijos (como los ID numéricos) hasta los nombres de archivo o las URL reales, y rechace todas las demás entradas. Utilice un cortafuegos de aplicaciones que pueda detectar ataques contra esta debilidad. Puede ser beneficioso en los casos en los que el código no puede ser arreglado (porque es controlado por un tercero), como una medida de prevención de emergencia mientras se aplican medidas de aseguramiento de software más completas, o para proporcionar una defensa en profundidad. Cuando utilice PHP, configure la aplicación para que no utilice register_globals. Durante la implementación, desarrolle la aplicación para que no dependa de esta característica, pero tenga cuidado de implementar una emulación de register_globals que esté sujeta a debilidades como CWE-95, CWE-621, y problemas similares. El gestor de bibliotecas de Python no neutralizaba suficientemente un término de búsqueda suministrado por el usuario, permitiendo un XSS reflejado. La plataforma de comercio electrónico basada en Python no escapaba del contenido devuelto en las páginas de error, lo que permitía ataques de Cross-Site Scripting reflejados. XSS universal en el sistema operativo móvil, explotado in the wild por CISA KEV. Cadena: la validación de entrada inadecuada (CWE-20) en el producto de cortafuegos conduce a XSS (CWE-79), como se explotó en la naturaleza por CISA KEV. La interfaz gráfica de administración permite el XSS a través de una cookie. El programa de estadísticas web permite el XSS a través de una cabecera HTTP manipulada. El producto de análisis de registros web permite el XSS a través del encabezado HTTP Referer. Cadena: el fallo del mecanismo de protección permite el XSS Cadena: la lista de denegación incompleta (CWE-184) sólo comprueba la etiqueta "javascript:", lo que permite el XSS (CWE-79) utilizando otras etiquetas Cadena: la lista de denegación incompleta (CWE-184) sólo elimina las etiquetas SCRIPT, lo que permite el XSS (CWE-79) XSS reflejado utilizando el PATH_INFO en una URL XSS reflejado no gestionado adecuadamente al generar un mensaje de error XSS reflejado enviado a través de un mensaje de correo electrónico. XSS almacenado en un producto de seguridad. XSS almacenado utilizando una página wiki. XSS almacenado en una aplicación de libro de visitas. XSS almacenado en una aplicación de libro de visitas utilizando un javascript: URI en una etiqueta bbcode img. Cadena: el archivo de la biblioteca no está protegido contra una petición directa (CWE-425), lo que lleva a un XSS reflejado (CWE-79).

Referencias


 

CPE

cpe iniciar fin
Configuration 1
cpe:2.3:a:ibm:lotus_inotes:8.5.0.0:*:*:*:*:*:*:*
cpe:2.3:a:ibm:lotus_inotes:8.5.0.1:*:*:*:*:*:*:*
cpe:2.3:a:ibm:lotus_inotes:8.5.1.0:*:*:*:*:*:*:*
cpe:2.3:a:ibm:lotus_inotes:8.5.1.1:*:*:*:*:*:*:*
cpe:2.3:a:ibm:lotus_inotes:8.5.1.2:*:*:*:*:*:*:*
cpe:2.3:a:ibm:lotus_inotes:8.5.1.3:*:*:*:*:*:*:*
cpe:2.3:a:ibm:lotus_inotes:8.5.1.4:*:*:*:*:*:*:*
cpe:2.3:a:ibm:lotus_inotes:8.5.1.5:*:*:*:*:*:*:*
cpe:2.3:a:ibm:lotus_inotes:8.5.2.0:*:*:*:*:*:*:*
cpe:2.3:a:ibm:lotus_inotes:8.5.2.1:*:*:*:*:*:*:*
cpe:2.3:a:ibm:lotus_inotes:8.5.2.2:*:*:*:*:*:*:*
cpe:2.3:a:ibm:lotus_inotes:8.5.2.3:*:*:*:*:*:*:*
cpe:2.3:a:ibm:lotus_inotes:8.5.3.0:*:*:*:*:*:*:*
cpe:2.3:a:ibm:lotus_inotes:8.5.3.1:*:*:*:*:*:*:*
cpe:2.3:a:ibm:lotus_inotes:8.5.3.2:*:*:*:*:*:*:*

Explota

id descripción fecha
No hay exploits conocidos

CAPEC

id descripción gravedad
591 XSS reflejado
Muy alto
592 XSS almacenado
Muy alto
85 Huella AJAX
Bajo
63 Cross-Site Scripting (XSS)
Muy alto
209 XSS Using MIME Type Mismatch
Medio
588 DOM-Based XSS
Muy alto

Sherlock® flash

Haz una foto de tu red informática en unos pocos clics !

La solución de auditoría Sherlock® flash le permite realizar una auditoría para reforzar la seguridad de sus activos informáticos. Escaneo de vulnerabilidad de sus equipos físicos y virtuales. Planificación de parches por nivel de prioridad y tiempo disponible. Informes detallados e intuitivos.

Descubra esta oferta

Sherlock® flash: primera solución de auditoría de ciberseguridad instantánea