Sistemas Afectados

1. Descripción

   riklaunim reportó una vulnerabilidad en FUDforum que puede explotarse por personas maliciosas para comprometer un sistema vulnerable.

   • La vulnerabilidad es ocasionada por la falta de restricciones del tipo de archivos que los usuarios pueden cargar como sus imagenes de avatar. Esto puede expotarse para cargar archivos scripts maliciosos (por ejemplo scripts de PHP) dentro del directorio raíz de web.

     Una explotación exitosa requiere que los usuario stengan permitido personalizar sus avatars (En la configuración inicial el administrador debe aprovar si se aplican nuevos avatars).

   La vulnerabilidad fue confirmada en la versión 2.6.15. Versiones anteriores también podrián ser afectadas.

2. Impacto

   Acceso al sistema.

3. Solución

   Actualizar a la versión 2.7.1 o mayor.
   http://fudforum.org/download.php

   No permitir a los usuarios personalizar sus avatars.

4. Apéndices

   Mayor información.

   http://fudforum.org/

La Coordinación de Seguridad de la Información/UNAM-CERT agradece el apoyo en la elaboración ó traducción y revisión de éste Documento a:

• Floriberto López Velázquez (flopez at seguridad dot unam dot mx)