Omisión de autenticación en Stela de Diaple Networking

Se ha hecho pú­bli­ca una vul­ne­ra­bi­li­dad de ca­rác­ter crí­ti­co lo­ca­li­za­da en el soft­wa­re de ges­tión de even­tos e ins­ti­tu­cio­nes Stela, de­sa­rro­lla­da por Dia­ple Net­wor­king. El ha­llaz­go de este fallo fue rea­li­za­do por Xavi Már­quez Gon­za­lez y su di­vul­ga­ción ha sido coor­di­na­da por INCIBE. El pro­ble­ma de se­gu­ri­dad afec­ta a todas las edi­cio­nes del pro­gra­ma an­te­rio­res a la ver­sión 1.60.1, re­co­men­dán­do­se la ac­tua­li­za­ción in­me­dia­ta a dicha ver­sión o a una pos­te­rior para so­lu­cio­nar el in­con­ve­nien­te.

El fallo de se­gu­ri­dad ra­di­ca en la au­sen­cia de va­li­da­ción sobre la in­te­gri­dad de una coo­kie es­pe­cí­fi­ca que uti­li­za el sis­te­ma. La pla­ta­for­ma guar­da datos crí­ti­cos de la se­sión den­tro de este ele­men­to y con­fía en ellos sin com­pro­bar­los, per­mi­tien­do que pue­dan ser al­te­ra­dos desde el lado del clien­te para fi­na­li­zar el pro­ce­so de ac­ce­so.

Un trans­gre­sor ex­terno que ca­rez­ca de cre­den­cia­les y no re­quie­ra de la par­ti­ci­pa­ción de ter­ce­ros tiene la ca­pa­ci­dad de mo­di­fi­car dicho ele­men­to web para sal­tar­se los con­tro­les de ac­ce­so. Esto po­si­bi­li­ta la usur­pa­ción de iden­ti­dad de cual­quier per­fil, al­can­zan­do in­clu­so cuen­tas con má­xi­mos pri­vi­le­gios ad­mi­nis­tra­ti­vos, lo que de­ri­va en la ob­ten­ción de un token vá­li­do y en la afec­ta­ción di­rec­ta sobre la con­fi­den­cia­li­dad y la in­te­gri­dad del sis­te­ma.