3 de diciembre de 2017

RSA. Vulnerabilidades en diferentes agentes de autenticación

Han sido identificadas dos vulnerabilidades en diferentes agentes de autenticación de RSA las cuales permiten evitar autenticarse en ciertas funciones de los productos afectados,  catalogadas de Importancia: 5 - Crítica
Recursos afectados:
  • RSA Authentication Agent SDK y API para C
  • RSA Authentication Agent para Apache Web Server en sus versions 8.0 y 8.0.1
Detalle e impacto de vulnerabilidades
En el caso de la API y el SDK de RSA en C, un fallo en la aplicación a la hora de manejar errores de respuestas de la API o SDK funcionando modo asíncrono del protocolo TCP puede llevar a evadir la autenticación en ciertas implementaciones. Se ha reservado el identificador CVE-2017-14378.
Por otro lado, en el caso de servidores web Apache, un error en la validación de los datos de entrada en el Agente de Autenticación puede permitir que aun atacante remoto evite autenticarse, pudiendo obtener acceso a los recursos protegidos del Agente.
El nivel de acceso que el atacante pueda conseguir depende de la política de autorización implantada por las aplicaciones que utiliza el agente de autenticación. Esta vulnerabilidad afecta al protocolo TCP a la hora de comunicarse con el servidor que maneja la autenticación RSA y no al protocolo UDP, que es la configuración por defecto. Se ha reservado el identificador CVE-2017-14377.
Recomendación
Para solucionar las vulnerabilidades descritas es necesario la actualización de los componentes afectados. Pare ello, puedes acceder a las actualizaciones en los siguientes enlaces:
Más información
Fuente: INCIBE