Inyección SQL (SQLi) en el módulo de autenticación de usuarios de Futurum Software

Se ha hecho pú­bli­ca una vul­ne­ra­bi­li­dad de ca­rác­ter crí­ti­co que im­pac­ta al sis­te­ma de au­ten­ti­ca­ción de usua­rios per­te­ne­cien­te a una he­rra­mien­ta em­pre­sa­rial en la nube de­sa­rro­lla­da por Fu­tu­rum Soft­wa­re para la ad­mi­nis­tra­ción de ne­go­cios de mar­ke­ting mul­ti­ni­vel. El ha­llaz­go de este fallo fue rea­li­za­do por un in­ves­ti­ga­dor iden­ti­fi­ca­do en el re­por­te.

El pro­ble­ma de se­gu­ri­dad está re­la­cio­na­do con una de­bi­li­dad de in­yec­ción SQL ciega, pro­vo­ca­da por la au­sen­cia de un fil­tra­do y sa­nea­mien­to co­rrec­to de los datos in­gre­sa­dos por los usua­rios en las pe­ti­cio­nes hacia la base de datos del apar­ta­do pri­va­do, ade­más de un ajus­te inade­cua­do en el cor­ta­fue­gos de apli­ca­cio­nes web. Como con­se­cuen­cia, es po­si­ble sal­tar­se los sis­te­mas de de­fen­sa em­plean­do úni­ca­men­te so­li­ci­tu­des HTTP al­te­ra­das.

Dado que el fallo puede ser apro­ve­cha­do por ata­can­tes sin au­ten­ti­ca­ción pre­via, exis­te el ries­go de eje­cu­tar co­man­dos ar­bi­tra­rios en la base de datos, co­no­cer toda su or­ga­ni­za­ción in­ter­na y ob­te­ner datos con­fi­den­cia­les de la clien­te­la, tales como in­for­ma­ción de iden­ti­fi­ca­ción per­so­nal. No obs­tan­te, la de­bi­li­dad ya ha sido so­lu­cio­na­da en el com­po­nen­te afec­ta­do del pro­vee­dor.

El ar­tícu­lo ori­gi­nal no apor­ta más de­ta­lle sobre los pasos adi­cio­na­les para la mi­ti­ga­ción ni sobre otras pla­ta­for­mas afec­ta­das.