Han sido identificadas dos vulnerabilidades en diferentes agentes de
autenticación de RSA las cuales permiten evitar autenticarse en ciertas
funciones de los productos afectados,
catalogadas de Importancia: 5 - Crítica
Recursos
afectados:
- RSA Authentication Agent SDK y API para C
- RSA Authentication Agent para Apache Web Server en sus versions 8.0 y 8.0.1
Detalle e impacto
de vulnerabilidades
En el caso de la API y el SDK de RSA en C, un fallo en la aplicación a
la hora de manejar errores de respuestas de la API o SDK funcionando modo
asíncrono del protocolo TCP puede llevar a evadir la autenticación en ciertas
implementaciones. Se ha reservado el identificador CVE-2017-14378.
Por otro lado, en el caso de servidores web Apache, un error en la
validación de los datos de entrada en el Agente de Autenticación puede permitir
que aun atacante remoto evite autenticarse, pudiendo obtener acceso a los
recursos protegidos del Agente.
El nivel de acceso que el atacante pueda conseguir depende de la
política de autorización implantada por las aplicaciones que utiliza el agente
de autenticación. Esta vulnerabilidad afecta al protocolo TCP a la hora de
comunicarse con el servidor que maneja la autenticación RSA y no al protocolo
UDP, que es la configuración por defecto. Se ha reservado el identificador
CVE-2017-14377.
Recomendación
Para solucionar las vulnerabilidades descritas es necesario la
actualización de los componentes afectados. Pare ello, puedes acceder a las
actualizaciones en los siguientes enlaces:
- RSA en Apache Web Server https://community.rsa.com/community/products/securid/authentication-agent-web-apache
- RSA en la API y el SDK https://community.rsa.com/docs/DOC-40601#agents
Más información
- ESA-2017-146: RSA Authentication Agent SDK for C Error Handling Vulnerability http://seclists.org/fulldisclosure/2017/Nov/48
- ESA-2017-145: RSA Authentication Agent for Web for Apache Web Server Authentication Bypass Vulnerability http://seclists.org/fulldisclosure/2017/Nov/46
Fuente: INCIBE