Se han anunciado cuatro vulnerabilidades en IBM
WebSphere Portal que podrían permitir a un atacante remoto construir ataques de
cross-site scripting, URLs de redirección y obtener información sensible de los
sistemas afectados.
IBM WebSphere
Portal ofrece una aplicación compuesta o infraestructura de "mashup"
empresarial y las herramientas para crear soluciones basadas en SOA
(Arquitectura Orientada a Servicios). WebSphere Portal contiene una amplia
variedad de tecnologías destinadas a desarrollar y mantener portales B2C, B2B y
B2E.
Detalle e Impacto de las
vulnerabilidades
- Dos vulnerabilidades (con CVE-2014-0953 y CVE-2014-3102) de cross-site scripting debidas a que no se tratan adecuadamente las entradas antes de ofrecer los resultados al usuario. Esto podría permitir a un atacante lograr la ejecución de código script arbitrario en el navegador del usuario, en el contexto del sitio afectado.
- Un tercer problema (con CVE-2014-4746) reside en que WebSphere Portal usa diferentes códigos de error que podrían permitir a un atacante remoto identificar los sistemas detrás del firewall.
- Por ultimo, WebSphere Portal podría facilitar la construcción de ataques de phishing al permitir redirecciones abiertas. Un atacante podría explotar esta vulnerabilidad mediante una URL específicamente creada para redireccionar a la víctima a sitios web arbitrarios.
- Cada problema afecta a diferentes versiones, aunque en general se ven afectadas las versiones 8.5, 8, 7 y 6. IBM ha publicado diferentes correcciones para evitar estos problemas. Dada la diversidad de versiones afectadas y parches se recomienda consultar el aviso del sitio IBM desde la dirección siguiente: http://www-304.ibm.com/support/docview.wss?uid=swg21680230
- Security Bulletin: Fixes available for Security Vulnerabilities in IBM WebSphere Portal (Multiple CVEs) http://www-304.ibm.com/support/docview.wss?uid=swg21680230
