Les avis de sécurité du consortium ESUP-Portail portent sur des vulnérabilités des logiciels diffusés par le consortium. Il est de la responsabilité de chacun des destinataires de ce document de ne pas le rediffuser en dehors du cadre pour lequel il a été écrit, pour des raisons évidentes de sécurité des Systèmes d'Information de tous les établissements du consortium ESUP-Portail.
Objet |
Vulnérabilité dans uPortal |
Référence |
ESUP-2009-AVI-004 |
Date de la première version |
10 décembre 2009 |
Date de la dernière version |
10 décembre 2009 |
Source |
liste de diffusion uportal-user du consortium JASIG |
Diffusion de cette version |
Publique |
Historique |
|
Pièces jointes |
Injection SQL
La vulnérabilité n'est pas considéré comme grave parce qu'elle n'est accessible que via l'interface Channel Manager qui est limité aux administrateurs de portail.
Dans une installation uPortal normal, il n'y a aucun moyen pour un utilisateur non administrateur d'exécuter le code concerné.
Un pirate peut introduire du code Javascript arbitraire dans le rendu de uPortal s'il fait ouvrir par le navigateur client une URL du portail malicieusement construite. Les possibilités d'attaque par le code Javascript incluent notamment la capture de l'identifiant de session, autorisant alors l'usurpation de l'identité de l'utilisateur.
Pour la version 2.6 appliquer le patch fournit en fichier joint : RDBMChannelRegistryStore.java.patch
La non utilisation de la servlet HttpProxyServlet était déjà recommandée par l'avis de sécurité ESUP-2007-AVI-001 - Vulnérabilité dans uPortal. Les exploitants qui n'utilisent pas cette servlet doivent vérifier qu'elle est bien commentée dans les fichiers /WEB-INF/web.xml de leurs instances de production.
Si la servlet est utilisée, ou qu'elle pourrait être utilisée, et que vous utilisez une version 2.6 ou plus, il faut alors remplacer le fichier source/org/jasig/portal/HttpProxyServlet.java par la version fournie dans le correctif ESUP-2008-AVI-001-COR.zip, puis redémarrer Tomcat.
Dans le cas d'une version 2.5, vous devez obligatoire commenter la servlet HttpProxyServlet dans /WEB-INF/web.xml |
\[uportal-user\] uPortal Security Announcement |
by Eric Dalquist <eric.dalquist@doit.wisc.edu>
December 08th 2009
A SQL injection vulnerability was reported that affects all released versions of uPortal.
The vulnerability is not considered severe as it is only accessible via the Channel Manager interface which is restricted to portal administrators. In a standard uPortal installation there is no way for an anonymous or non-administrative user to execute the affect code.
Security patch releases uPortal 2.6.1.1and 2.5.3.2have been put out. The bug is fixed in the 3.1.2 and3.0.5releases which came out today. The details of the bug are documented in Jira issue: http://www.ja-sig.org/issues/browse/UP-2515
For those that cannot upgrade to a released version they are encouraged to apply a patch for the issue. Version specific patches are linked below:
uPortal 2.5: http://developer.jasig.org/source/rdiff/jasigsvn?csid=47293&u&N
uPortal 2.6: http://developer.jasig.org/source/rdiff/jasigsvn?csid=47294&u&N
uPortal 3.0: http://developer.jasig.org/source/rdiff/jasigsvn?csid=47295&u&N
uPortal 3.1: http://developer.jasig.org/source/rdiff/jasigsvn?csid=47296&u&N
Thank you,
-Eric Dalquist