Ausencia de verificación de integridad en MobaXterm de Mobatek

INCIBE ha coor­di­na­do la di­fu­sión de un fallo de se­gu­ri­dad de gra­ve­dad alta pre­sen­te en Mo­baX­term de Mo­ba­tek, una he­rra­mien­ta de ter­mi­nal para Win­dows que com­bi­na uti­li­da­des Unix y fun­cio­nes de co­ne­xión a dis­tan­cia. El ha­llaz­go de esta de­bi­li­dad fue rea­li­za­do por Pedro J. Nunez-Cacho Fuen­tes.

El pro­ble­ma afec­ta es­pe­cí­fi­ca­men­te a la ver­sión 26.4 GA de Mo­baX­term Per­so­nal Edi­tion (Por­ta­ble) de­bi­do a la falta de va­li­da­ción de in­te­gri­dad al des­com­pri­mir el com­ple­men­to Cy­gU­tils64.plu­gin. Esto per­mi­te que un ata­can­te local con pri­vi­le­gios de es­cri­tu­ra sobre dicho ar­chi­vo mo­di­fi­que la bi­blio­te­ca in­ter­na e in­tro­duz­ca có­di­go ma­li­cio­so, el cual se eje­cu­ta­rá uti­li­zan­do los per­mi­sos de la víc­ti­ma en cuan­to esta abra una se­sión de tipo Local Shell o em­plee he­rra­mien­tas ba­sa­das en Cyg­win.

Para so­lu­cio­nar este de­fec­to de se­gu­ri­dad, se acon­se­ja la ac­tua­li­za­ción del soft­wa­re a la ver­sión 26.5 o a al­gu­na pos­te­rior. La ex­plo­ta­ción de esta in­ci­den­cia exige tener ac­ce­so de es­cri­tu­ra al com­ple­men­to men­cio­na­do y no con­lle­va, por sí misma, una ele­va­ción de pri­vi­le­gios.