Soporte técnico
Documentación
Inicio de sesión
Póngase en contacto con nosotros
Vulnerabilidades detectadas en el sistema de boletines Ghost
3 de enero de 2023 - Equipo de RRPP de TuxCare
Según Cisco Talos, existen dos vulnerabilidades en el sistema de suscripción al boletín de noticias Ghost CMS, CVE-2022-41654, y CVE-2022-41697, en la funcionalidad de suscripción al boletín de noticias de Ghost Foundation Ghost 5.9.4.
Los usuarios externos pueden aprovechar las vulnerabilidades para crear nuevos boletines o modificar los existentes. Los actores externos también pueden crear boletines o modificar los existentes inyectándoles JavaScript malicioso.
La vulnerabilidad de elusión de autenticación, rastreada como CVE-2022-41654 (puntuación CVSS: 9,6) y CVE-2022-41697, permite a usuarios sin privilegios realizar cambios no autorizados en la configuración del boletín.
En el caso de CVE-2022-41654, permite a los miembros (usuarios sin privilegios) cambiar la configuración del boletín en sitios en los que los miembros están habilitados por defecto. Esto permite a los usuarios sin privilegios ver y cambiar configuraciones a las que se suponía que no tenían acceso. No pueden escalar permanentemente sus privilegios ni acceder a información adicional. Este problema fue causado por un defecto en la validación de la API de objetos anidados.
Otro problema derivado del mismo fallo es la capacidad de inyectar JavaScript en el boletín, que Ghost permite por defecto, suponiendo que sólo los administradores tienen acceso a esta potente función. Esto se reveló cuando el equipo de Cisco Talos explotó este fallo para inyectar un objeto XSS (cross-site scripting) en el sistema, que se activaba cuando el administrador intentaba editar el boletín de noticias predeterminado.
CVE-2022-41697, por otro lado, permite que una petición HTTP especialmente diseñada conduzca a un aumento de privilegios. Un atacante puede explotar esta vulnerabilidad enviando una petición HTTP. El uso de una entrada desconocida da lugar a una vulnerabilidad de control de acceso. CWE-284 resulta del uso de CWE para declarar el problema. El software no restringe o restringe incorrectamente el acceso de un actor no autorizado a un recurso. Se pone en peligro la confidencialidad, la integridad y la disponibilidad.
Ghost ha parcheado las dos vulnerabilidades en la versión más reciente del CMS.
Las fuentes de este artículo incluyen un artículo en BleepingComputer.
