Content
eParakstītājs programmatūrā atklāta drošības ievainojamība
Kategorija: eparaksts + Incidenti
Izmantojot ievainojamību programamtūrā (CVE-2015-8275 un CVE-2015-8276), bija iespējams nesankcionēti nolasīt vai ierakstītu specifiski veidotus failus programmatūras eParakstītājs lietotāja sistēmā un informācijas sistēmās, kurās integrētas Java bibliotēkas lietotnes. VAS LVRTC konstatēto programmatūras nepilnību ir novērsis un informē, ka nepilnība neapdraudēja eParakstītā dokumenta nemainīgumu un integritāti.
Programmatūras nepilnību ir atklājis IT drošības speciālists Oskars Veģeris sadarbībā ar SIA “BITI”, veicot informācijas sistēmas drošības auditu SIA “BITI” klientam. Par atklāto nepilnību tika informēts CERT.LV, kā arī sertifikācijas pakalpojumu sniedzējs – VAS LVRTC. Iesaistīto pušu rīcībā nav informācijas par gadījumiem, kad kāds ļaunprātīgi būtu izmantojis šo ievainojamību.
Ievainojamībai pat piekšķirts CVE identifikātors, taču eParakstītājs versijas, kurās ir ievainojamība, nav uzskaitītas. Vai no tā jāsaprot, ka ievainojamība tur bijusi jau no sākta gala?
Avoti:
CERT.LV: https://cert.lv/resource/show/760
LVRTC: https://www.eparaksts.lv/lv/jaunumi/eparaksta-lietotajus-aicina-uz-savam-darba-stacijam-nekavejoties-atjauninat-programmaturu-eparakstitajs/
2016-01-08 » edgars
Re: eParakstītājs programmatūrā atklāta drošības ievainojamība
8 January 2016 @ 21:16
Vairāk info: https://cert.lv/resource/show/762
9 January 2016 @ 22:18
“Possible to write arbitrary files to the filesystem” visdrīzāk kaut kāds ZIP directory traversal pie .edoc (lasi – .zip) konteinera ekstraktēšanas.
Bet kas ellē ir “Possible to read arbitrary files”? Kādā veidā tā ir ievainojamība?
10 January 2016 @ 13:45
@LUL, piemēram, lib tiek integrēta daudzās web IS, kur lasīt arbitrary servera failus ir būtiski. Par rakstīšanu nemaz nerunājot:)