Sistemas Afectados

1. Descripción

   Se reportarón varias vulnerabilidades en phpAdsNew que pueden explotarse por personas maliciosas para obtener información sensible, realizar ataques de SQL injection, o comprometer un sistema vulnerable.

   1. phpAdsNew utiliza una versión vulnerable de XML-RPC para PHP.

      Ver:
      Ejecución de código PHP en etiquetas XML anidadas de XML_RPC.

   2. La entrada que se pasa al parámetro "clientid" dentro de lib-view-direct.inc.php no es verificada apropiadamente antes de utilizarse en una petición SQL. Esto puede explotarse para manipular las peticiones SQL inyectando código SQL arbitrario.

      Una explotación exitosa requiere MySQL 4.1+ o PostgreSQL.

   3. La entrada que se pasa a ciertos parámetros no es verificada apropiadamente antes de utilizarse para incluir archivos. Esto puede explotarse para agregar archivos, locales, arbitrarios.

2. Impacto

   SQL Injection.

   Manipulación de datos.

   Exposición de información sensible.

   Acceso al sistema.

3. Solución

   Actualizar a la versión 2.0.6.
   http://prdownloads.sourceforge.net/phpadsnew/phpAdsNew-2.0.6.tar.gz-download

4. Apéndices

   Mayor información.

   http://phpadsnew.com/
   http://www.seguridad.unam.mx/vulnerabilidades/

La Coordinación de Seguridad de la Información/UNAM-CERT agradece el apoyo en la elaboración ó traducción y revisión de éste Documento a:

• Floriberto López Velázquez (flopez at seguridad dot unam dot mx)