lunes, 22 de mayo de 2017

Apps industrial OT over Server: "Anti-Web 3.x.x < 3.8.x" vuln: Local File Inclusión

[*] Date: 15/05/2017
[*] Vendor: Multiples vendors
[*] Category: Industrial OT webapps
[*] Exploit Author: 
[>] Fernandez Ezequiel ( @capitan_alfa
  [>] Bertin Jose ( @bertinjoseb ) 

[+] DESCRIPTION:

[*] vulnerability: LFI ( Local File Inclusion ) 
[*] Attack Vector (AV): Remote
[*] Attack Complexity (AC): Low
[*] Privileges Required (PR): None  (no necesita autenticacion alguna)
[*] Confidentiality (C): High

LFI:
Un "LFI" es una vulnerabilidad sobre aplicaciones web que permiten la inclusión de archivos locales, es decir aquellos ficheros que se encuentran en el mismo servidor de la web. La vulnerabilidad radica en la posibilidad de modificar en origen de estos archivos.

En nuestro caso,las aplicaciones web de los dispositivos testeados permiten las obtención de archivos alojados en el server. Enviando una peticion POST adulterada, apuntando a archivos existentes en el servidor. Sin necesidad de ningún tipo de credencial previa.