Vulnerabilidad

[mrebook]

Hola, este es mi primer Post.
El asunto es que realizaron un Test de Vulnerabilidad sobre la URL donde tengo instaldo Alfresco y el resultado fue desastroso, principalmente porque el informe dice que existe una cantidad enorme de posibilidades de "SQL Injection" en los archivos Container.Jsp

Inicio con Alfresco y me siento desconcertado…  Alguien podria ayudarme?

Saludos y Gracias por anticipado…

[cristinamr]

Bienvenido

He leído tu post pero no comprendo muy bien qué quieres o cual es la finalidad de tu post. ¿Podrías concretar un poco más? A ver si así podemos ayudarte =)

Un saludo!

[mrebook]

Bien… me explico un poco mas…
Tengo instalado Alfresco en un Equipo de la Red y necesito accesarlo desde una ubicacion externa… para esto solicite al Administrador de la Red que me abriera un puerto, sin embargo, antes de que el Administrador procese cualquier solicitud de este tipo… realiza un Test de Vulnerablidad sobre la URL que se desea hacer "visible" al exterior, y precisamente al realizar este Test fue que me informo que la URL donde tengo instalado Alfresco (//miservidor:8080/alfresco) es altamente susceptible de ataques SQL Injection a traves de los archivos Container.jsp, por lo cual, no puede puede procesar mi solicitud de abrir el puerto. 

Saludos…

[cristinamr]

Así a bote pronto, ¿por qué no cambias el puerto 8080 a, por ejemplo, 8090? Esto se podría hacer y ya no estarías hablando del puerto 8080 que es el que entiendo que está dando problemas. Quizás deberías hablar directamente con el administrador y preguntarle si es posible que haga este cambio en las instalaciones que tenéis, así te quitas de cualquier problema.

Ten en cuenta que lo que te está ocurriendo es porque cuando instalasteis alfresco lo configurasteis con el puerto ese puerto, así que lo suyo es que si os da problemas, lo cambiéis. Siento no ser de más ayuda, pero en este caso el problema es por la configuración que le distéis al instalarlo, poco más puedo recomendarte que se me ocurra 

Un saludo.

[venzia]

Y bueno .. ya puestos, puedes añadir el contenido de dicho informe (o el software con el que lo elaboró)? .. es q no termino de ver por donde puede injectar sql (http://es.wikipedia.org/wiki/Inyecci%C3%B3n_SQL) desde el container.jsp (que básicamente se encarga de formar las partes de las que se compone la webapp de alfresco).
Por otro lado es la primera noticia que tengo al respecto, y mira que alfresco tiene movimiento :mrgreen:.
De cualquier forma estaría bien contrastarlo en detalle (con el objetivo de que si realmente existe el problema se pueda buscar solución).
Saludos,

[mrebook]

Antes que otra cosa… agradezco tu interés y tu ayuda…
De esta forma voy intentando explicarme más…
Instalar Alfresco en cuaquier número de puerto no es problema y que el Administrador de la Red me de acceso desde el exterior al mismo tampoco lo es, inclusive el procedimiento podría ser a la inversa… yo podría preguntarle que puerto(s) tiene él disponibles y yo instalaría Alfresco para que escuchara en ese puerto…
Sin embargo, la esencia del problema es la siguiente: por política, en nuestros servidores, cualquier sitio web que se desea hacer público debe pasar por un Test que nos indica el margen de vulnerabilidad del mismo, esto es, se realiza una prueba para determinar si en un momento dado al hacer público un sitio no se compromete la seguridad de la base de datos (si es que el sitio tiene acceso a alguna) o de la misma red en el peor de los casos. Existen diversas técnicas de "Hacking" como XSS y SQL Injection que aprovechan vulnerabilidades en aplicaciones web, carritos de compra, formularios, páginas de acceso, contenido dinámico, etc. Y cual sería mi sorpresa que cuando el Administrador de la Red aplicó las pruebas necesarias a mi sitio de Alfresco, resultó que es altamente susceptible a ataques del tipo SQL Injection. Y precisamente la vulnerabilidad reside en los archivos Container.jsp (quero decir que a través de los mismos mi sitio podría ser atacado). Por lo tanto mientras en mi sitio exista la posibilidad de un ataque de este tipo el Adminstrador de la Red no me permitirá que lo haga público.

http://www.acunetix.com es un sitio desde donde se puede descargar un software que se utiliza para aplicar estas pruebas y donde se puede encontrar más información al respecto…

Saludos…

[mrebook]

Hola…innovasoft…
Precisamente a mi parecer esa caractística que tiene el container.jsp (que básicamente se encarga de formar las partes de las que se compone la webapp de alfresco) en algunos controles ocultos como: idJsp9 existe la vulnerabilidad del ataque SQL Injection…

Por ejemplo en este fragmento de código:

<input type="hidden" name="dashboard_SUBMIT" value="1" /><input type="hidden" name="id" /><input type="hidden" name="dashboard:_idJsp9" /><input type="hidden" name="dashboard:act" /><input type="hidden" name="dashboard:sidebar-body:navigator" /><input type="hidden" name="outcome" /><input type="hidden" name="dashboard:modelist" /><script type="text/javascript">…

Este fragmento de código pertenece precisamente a la página del Dashboard.

A la brevedad posible añado el informe que tengo sobre el Test al sitio web de mi instalación de alfresco… pero basicamente todo el informe se refiere a 1000 pruebas con diferentes valores sobre este contro y algunos otros…

Saludos…

[cesarista]

Hola:

A la espera de saber que tipo de info proporciona el informe de vulnerabilidades, no termino de ver nada raro en el extracto que escribes (una serie de campos hidden en un formulario). Siento el escepticismo pero, en cualquier caso, el enlace a la herramienta con la que se ha hecho el análisis, permiría testear las vulnerabilidades de un servidor alfresco, así como replicar y contrastar las vulnerabilidades que habeis obtenido.

Un saludo.

–C.

[cristinamr]

cesarista tiene razón, en lo que has expuesto no hay nada que indique evidencia de que se pueda hacer una ataque sql injection, igualmente si puedes, publicanos qué información te da concretamente porque personalmente es la primera vez que escucho que alfresco tenga vulnerabilidad con este tipo de ataque, y si existe sería bueno saber exactamente donde está la vulnerabilidad para reportarlo a Alfresco (a parte que tendríamos algo "tangible" por donde investigar).

Un saludo.

[baskeyfield]

Buenas,

He descargado el programa del enlace y lo he lanzado contra mi Alfresco.

La versión demo solo testea ataques Xss, de todas formas no ha detectado nada.

Podrías concretar más que errores obtienes y publicar el log?

Saludos.