Inicio / Alerta Temprana / Avisos Seguridad / Ejecución remota de código en Integria IMS

Ejecución remota de código en Integria IMS

Fecha de publicación: 
06/10/2021
Importancia: 
5 - Crítica
Recursos afectados: 

Integria IMS, versión 5.0.92.

Descripción: 

INCIBE ha coordinado la publicación de una vulnerabilidad en Integria IMS, con el código interno INCIBE-2021-0404, que ha sido descubierta por @nag0mez (mención especial a @_Barriuso).

A esta vulnerabilidad se le ha asignado el código CVE-2021-3832. Se ha calculado una puntuación base CVSS v3.1 de 9,8; siendo el cálculo del CVSS el siguiente: AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H.

Solución: 

Comprobación de usuario autentificado antes de subir archivos. Además, lista negra de extensiones no permitidas. Esta vulnerabilidad ha sido corregida en Integria IMS 5.0.93.

Detalle: 

La versión 5.0.92 de Integria IMS es vulnerable a un ataque de Ejecución de Código Remoto a través de la subida de ficheros. Un usuario autenticado podría sacar provecho de la función AsyncUpload() para explotar la vulnerabilidad.

Esta vulnerabilidad ha sido corregida en Integria IMS 5.0.93.

CWE-434: Subida sin restricciones de ficheros de tipos peligrosos.

Línea temporal:

08/04/2021 - Descubrimiento por parte de los investigadores.
09/04/2021 - Los investigadores contactan con INCIBE.
20/05/2021 - Integria IMS confirma que la versión correctora y la nueva versión de software han sido publicadas (security patch).
06/10/2021 - INCIBE publica el aviso.

Si tiene más información sobre este aviso, póngase en contacto con INCIBE, como se indica en la sección de asignación y publicación de CVE.

Encuesta valoración