Sistemas Afectados

1. Descripción

   Se reportó una vulnerabilidad dentro de WebCalendar, que puede explotarse por personas maliciosas para comprometer un sistema vulnerable.

   • La entrada que se pasa al parámetro "includedir" dentro de send_reminders.php no es verificada antes de utilizarse para incluir archivos. Esto puede explotarse para agregar archivos arbitrarios desde fuentes locales y externas.

     NOTA: Se ha reportado que la vulnerabilidad esta explotandose activamente.

2. Impacto

   Acceso al sistema.

3. Solución

   Actualizar a la versión 1.0.1.
   http://www.k5n.us/webcalendar.php-topic=Download

4. Apéndices

   Mayor información.

   http://www.k5n.us/

La Coordinación de Seguridad de la Información/UNAM-CERT agradece el apoyo en la elaboración ó traducción y revisión de éste Documento a:

• Floriberto López Velázquez (flopez at seguridad dot unam dot mx)