Fecha de publicación: 06/10/2021
Importancia:
Crítica
Recursos afectados:
Integria IMS, versión 5.0.92.
Descripción:
INCIBE ha coordinado la publicación de una vulnerabilidad en Integria IMS, con el código interno INCIBE-2021-0404, que ha sido descubierta por @nag0mez (mención especial a @_Barriuso).
A esta vulnerabilidad se le ha asignado el código CVE-2021-3832. Se ha calculado una puntuación base CVSS v3.1 de 9,8; siendo el cálculo del CVSS el siguiente: AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H.
Solución:
Comprobación de usuario autentificado antes de subir archivos. Además, lista negra de extensiones no permitidas. Esta vulnerabilidad ha sido corregida en Integria IMS 5.0.93.
Detalle:
La versión 5.0.92 de Integria IMS es vulnerable a un ataque de Ejecución de Código Remoto a través de la subida de ficheros. Un usuario autenticado podría sacar provecho de la función AsyncUpload() para explotar la vulnerabilidad.
Esta vulnerabilidad ha sido corregida en Integria IMS 5.0.93.
CWE-434: Subida sin restricciones de ficheros de tipos peligrosos.
Línea temporal:
08/04/2021 – Divulgación de los investigadores.
09/04/2021 – Los investigadores contactan con INCIBE.
20/05/2021 – Integria IMS confirma que la versión correctora y la nueva versión de software han sido publicadas (security patch).
06/10/2021 – INCIBE publica el aviso.
Si tiene más información sobre este aviso, póngase en contacto con INCIBE, como se indica en la sección de asignación y publicación de CVE.
Etiquetas:
0day, Actualización, CNA, Vulnerabilidad
Ir a la fuente
Author: INCIBE
Aviso: Esta noticia / aviso es únicamente informativa y su veracidad está supeditada a la fuente origen. TechConsulting muestra este contenido por creer en su fuente y cómo servicio para facilitar a usuarios y empresas la obtención de dicho contenido. Agradecemos a la fuente el esfuerzo por distribuir este tipo de noticias y avisos sobre Ciberseguridad.