Cross-site scripting en Cisco Secure ACS para UNIX

From: Oxygen3 24h-365d <oxygen@pandasoftware.com>
Date: 20-jun-2006 10:27
Subject: Oxygen3 24h-365d [Cross-site scripting en Cisco Secure ACS para UNIX - 20/06/06]
To: OXYGEN3ES@oxygen3.pandasoftware.com

"Todo cuanto sé con mayor certeza sobre la moral y las
obligaciones de los hombres, se lo debo al fútbol".
Albert Camus, (1913-1960), escritor y filósofo francés
(El 20 de junio de 1963 se establece el "teléfono rojo" entre URSS y EEUU)

- Cross-site scripting en Cisco Secure ACS para UNIX -

Oxygen3 24h-365d, por Panda Software (http://www.pandasoftware.es)
Madrid, 20 de junio de 2006 - Cisco ha confirmado la existencia de una vulnerabilidad en Cisco Secure Access Control Server para UNIX, por la que un usuario remoto podrá crear ataques de cross-site scripting.

El problema reside en que el script 'LogonProxy.cgi' no filtra adecuadamente el código html introducido por el usuario en peticiones HTTP GET y HTTP POST antes de mostrar la entrada. Un usuario remoto podrá provocar la ejecución de código script arbitrario en el navegador del usuario atacado. El código se generará desde el sitio con el software Cisco Secure ACS para UNIX y se ejecutará en el contexto de seguridad de dicho sitio. Como resultado, el código tendrá acceso a las cookies del usuario atacado asociadas con el dispositivo (incluidas las cookies de autenticación), a datos de accesos recientemente introducidos por el usuario al dispositivo a través de formularios web, o podrá realizar acciones sobre el dispositivo actuando como el propio usuario atacado.

Sólo se ve afectada la versión Cisco Secure ACS for UNIX, otras versiones de Cisco Secure Access Control Server no se ven afectadas.
Cisco ha publicado una actualización disponible en: http://www.cisco.com/pcgi-bin/tablebuild.pl/cspatchunix-3des

El aviso de seguridad de Cisco está disponible en: http://www.cisco.com/warp/public/707/cisco-sr-20060615-acs.shtml