02-12-2009

Una vulnerabilidad ha sido reportada en RT, que puede ser explotada por usuarios maliciosos para realizar ataques de fijación del período de sesión.

Sistemas afectados:

Versiones de RT desde la 3.0.0 a la 3.8.5

Riesgo:   Medio

Descripción:

La vulnerabilidad se debe a un error en el manejo de sesiones y puede ser explotada por atacantes remotos para secuestrar la sesión de otro usuario, engañando al usuario a acceder después de seguir un enlace especialmente diseñado.

Solución:

Se aconseja actualizar a la versión 3.8.6 o aplicar el parche adecuado según la versión de la aplicación:
 
Descargar el RT-3.0.0-session_fixation.v3.patch
http://lists.bestpractical.com/pipermail/rt-announce/attachments/20091130/c06e2efe/attachment.patch
Descargar el RT-3.0.1-3.0.6-session_fixation.v3.patch
http://lists.bestpractical.com/pipermail/rt-announce/attachments/20091130/c06e2efe/attachment-0001.patch
Descargar el RT-3.0.7-3.6.1-session_fixation.v3.patch
http://lists.bestpractical.com/pipermail/rt-announce/attachments/20091130/c06e2efe/attachment-0002.patch
Descargar el RT-3.6.2-3.6.3-session_fixation.v3.patch
http://lists.bestpractical.com/pipermail/rt-announce/attachments/20091130/c06e2efe/attachment-0004.patch
Descargar el RT-3.6.4-3.6.9-session_fixation.v2.patch
http://lists.bestpractical.com/pipermail/rt-announce/attachments/20091130/c06e2efe/attachment-0005.patch
Descargar el RT-3.8-session_fixation.patch
http://lists.bestpractical.com/pipermail/rt-announce/attachments/20091130/c06e2efe/attachment-0003.patch
 
 
La forma de actualizar los sistemas se indica a continuación dependiendo de la versión:
 
Para RT 3.0.0
 $ cd /opt/rt3/share
 $ patch -p1 < /ruta/hasta/RT-3.0.0-session_fixation.v3.patch
 
Para RT 3.0.1-3.0.6
 $ cd /opt/rt3/share
 $ patch -p1 < /ruta/hasta/RT-3.0.1-3.0.6-session_fixation.v3.patch
 
Para RT 3.0.7-3.6.1
 $ cd /opt/rt3/share
 $ patch -p1 < /ruta/hasta/RT-3.0.7-3.6.1-session_fixation.v3.patch
 
Para RT 3.6.2-3.6.3
 $ cd /opt/rt3/share
 $ patch -p1 < RT-3.6.2-3.6.3-session_fixation.v3.patch
 
Para RT 3.6.4-3.6.9
 $ cd /opt/rt3/share
 $ patch -p1 < RT-3.6.4-3.6.9-session_fixation.v2.patch
 
Para RT 3.8.0-3.8.5
 $ cd /opt/rt3/share
 $ patch -p1 < /path/to/RT-3.8-session_fixation.patch
 
A continuación, y suponiendo que la instalación de RT está en la ruta /opt/rt3, se deberá usar el siguiente comando para borrar la caché:

 $ rm -rf /opt/rt3/var/mason_data/obj/*
 
y finalmente se deberá reiniciar el servidor web:
 
Si es httpd:
 $ /etc/init.d/httpd restart
Si es Apache
 $ /etc/init.d/apache restart

Referencias:

CVE-2009-3585

Más información:

http://lists.bestpractical.com/pipermail/rt-announce/2009-November/000176.html
http://lists.bestpractical.com/pipermail/rt-announce/2009-November/000177.html
http://secunia.com/advisories/37546

Fuente:   Secunia Advisories www.secunia.com