Bugs no Java e Python permitem contornar firewalls

Os pesquisadores Alexander Klink e Timothy Morgan reportaram dois alertas informando a existência de bugs no Java e no Python que permitem que hackers contornem firewalls. A vulerabilidade ocorre devido ao fato do Java não verificar a sintaxe dos nomes de usuário em seu protocolo FTP.

A conexão ao servidor FTP não suporta autenticação, mas o Java XML eXternal Entity (XEE) não verifica os retornos do transporte ou das linhas de alimentação nos nomes de usuários. Isso permite que o invasor encerre os comandos de autenticação e injete novos comandos à sessão FTP. Consequentemente, comandos arbitrários SMTP podem ser enviados bem como conectar remotamente aos servidores para enviar e-mails e anexos não autorizados.

A vulnerabilidade pode ser usada também para analisar arquivos JNLP maliciosos, realizar ataques “man-in-the-middle” (MiTM) que, para quem não conhece é uma forma de ataque cujos dados transportados são monitorados e trocados pelo atacante que os intercepta; ou falsificação de requisição no servidor (SSRF, Server-Side Request Forgery), um ataque que possibilita o envio de requisições arbitrárias de um servidor vulnerável.

Segundo os pesquisadores, uma vulnerabilidade parecida atinge também o Python através das bibliotecas urllib2 e urlib. Contudo, embora a falha de segurança no Python pareça estar limitada a ataques baseados em nomes de diretórios listados, o bug do Java não está limitado.

Segundo Timothy Morgan, especialista em segurança da Blindspot, os fornecedores do Python ainda foram informados sobre a vulnerabilidade em janeiro de 2016 e a equipe de segurança não conseguiu resolver o problema até então.

Para evitar a vulnerabilidade, é recomendável desabilitar o FTP em modo clássico por padrão e auditar os aplicativos para saber se estão vulneráveis a esses ataques.

 

Mais detalhes: Blindspot

Compartilhe
  •  
  •  
  •  
  •  
  •  
  •  
  •  
  •  

Deixe um comentário