Cross-Site Scripting reflejado en la configuración de PHP-CGI/PHP-FPM de ICT Innovations

INCIBE coor­di­nó la di­vul­ga­ción de un fallo de se­gu­ri­dad de gra­ve­dad media vin­cu­la­do a la con­fi­gu­ra­ción de tiem­po de eje­cu­ción in­se­gu­ra en PHP-CGI/PHP-FPM den­tro del pa­que­te mul­ti­usua­rio web de ICT In­no­va­tions. El ha­llaz­go de esta vul­ne­ra­bi­li­dad co­rrió a cargo de Gon­za­lo Agui­lar Gar­cía, co­no­ci­do como 6h4ack, y re­ci­bió la so­lu­ción co­rres­pon­dien­te por parte del equi­po de­sa­rro­lla­dor en el mes in­di­ca­do.

El pro­ble­ma fue re­gis­tra­do bajo el có­di­go iden­ti­fi­ca­dor co­rres­pon­dien­te y se cla­si­fi­ca como una vul­ne­ra­bi­li­dad de tipo Cross-Site Scrip­ting (XSS) re­fle­ja­do que im­pac­ta al soft­wa­re ICT­Broad­cast, es­pe­cí­fi­ca­men­te en su en­torno de de­mos­tra­ción. El fallo se lo­ca­li­za en el punto de ac­ce­so ‘login.php’, de­bi­do a que el pa­rá­me­tro ‘edit­Form[ex­ten­sion_user­na­me]’ se de­vuel­ve en la res­pues­ta de la apli­ca­ción ca­re­cien­do de la sa­ni­ti­za­ción o el fil­tra­do ne­ce­sa­rios.

Con­se­guir ex­plo­tar este fallo de forma exi­to­sa otor­ga a un ata­can­te la ca­pa­ci­dad de lo­grar la eje­cu­ción de có­di­go Ja­vaS­cript de ca­rác­ter ar­bi­tra­rio di­rec­ta­men­te en el na­ve­ga­dor web de la víc­ti­ma, si­tua­ción que ocu­rre en el mo­men­to en que la per­so­na afec­ta­da in­gre­sa a la di­rec­ción URL ma­li­cio­sa pre­pa­ra­da.