Plusieurs failles de s\u00e9curit\u00e9 non corrig\u00e9es ont \u00e9t\u00e9 r\u00e9v\u00e9l\u00e9es dans les offres de syst\u00e8me de gestion de documents (DMS) open source et freemium de quatre fournisseurs LogicalDOC, Mayan, ONLYOFFICE et OpenKM.<\/p>\n
La soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 Rapid7 a d\u00e9clar\u00e9 que les huit vuln\u00e9rabilit\u00e9s offrent un m\u00e9canisme par lequel “un attaquant peut convaincre un op\u00e9rateur humain d’enregistrer un document malveillant sur la plate-forme et, une fois le document index\u00e9 et d\u00e9clench\u00e9 par l’utilisateur, donner \u00e0 l’attaquant plusieurs chemins pour contr\u00f4ler l’organisation”. .”<\/p>\n
La liste des huit scripts intersites (XSS<\/a>) d\u00e9couvertes par le chercheur de Rapid7 Matthew Kienow, est la suivante –<\/p>\n Le XSS stock\u00e9, \u00e9galement connu sous le nom de XSS persistant, se produit lorsqu’un script malveillant est inject\u00e9 directement dans une application Web vuln\u00e9rable (par exemple, via un champ de commentaire), provoquant l’activation du code malveillant \u00e0 chaque visite de l’application.<\/p>\n Un acteur malveillant peut exploiter les failles susmentionn\u00e9es en fournissant un document leurre, permettant \u00e0 l’intrus de renforcer son contr\u00f4le sur le r\u00e9seau compromis,<\/p>\n “Un mod\u00e8le d’attaque typique consisterait \u00e0 voler le cookie de session avec lequel un administrateur connect\u00e9 localement est authentifi\u00e9 et \u00e0 r\u00e9utiliser ce cookie de session pour se faire passer pour cet utilisateur afin de cr\u00e9er un nouveau compte privil\u00e9gi\u00e9”, a d\u00e9clar\u00e9 Tod Beardsley, directeur de recherche chez Rapid7, a dit<\/a>.<\/p>\n Dans un sc\u00e9nario alternatif, l’attaquant pourrait abuser de l’identit\u00e9 de la victime pour injecter des commandes arbitraires et obtenir un acc\u00e8s furtif aux documents stock\u00e9s.<\/p>\n La soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 a not\u00e9 que les failles avaient \u00e9t\u00e9 signal\u00e9es aux fournisseurs respectifs le 1er d\u00e9cembre 2022 et n’avaient toujours pas \u00e9t\u00e9 corrig\u00e9es malgr\u00e9 la coordination des divulgations avec le centre de coordination du CERT (CERT\/CC).<\/p>\n Les utilisateurs du DMS concern\u00e9 sont invit\u00e9s \u00e0 proc\u00e9der avec prudence lors de l’importation de documents provenant de sources inconnues ou non fiables, ainsi qu’\u00e0 limiter la cr\u00e9ation d’utilisateurs anonymes et non fiables et \u00e0 restreindre certaines fonctionnalit\u00e9s telles que les chats et le marquage aux utilisateurs connus.<\/p>\n <\/p>\n\n