Actualizaciones de seguridad

Este documento enumera las vulnerabilidades detectadas en Browser Security Plus.
Actualizar a la última compilación solucionará estos problemas.

Vulnerabilidades corregidas en la compilación 2404.1

1. Se han solucionado los problemas de seguridad relacionados con el acceso a los datos entre varios usuarios en el mismo equipo agente.
2. Se han corregido los problemas con el análisis de URL incorrecto.

Vulnerabilidad corregida en la compilación 2138.2

1. Se ha solucionado el problema de escalamiento de privilegios que permitía a un usuario autenticado cambiar la contraseña de inicio de sesión de cualquier usuario.

Vulnerabilidad corregida en la compilación 2137.8

1. Se ha solucionado el problema de omisión de autenticación, lectura de información confidencial o carga de un archivo ZIP arbitrario en el servidor.

Vulnerabilidad corregida en la compilación 2119.11

1. Se ha corregido un problema de autenticación que eludía el acceso basado en roles y que conducía a la ejecución remota de código en el servidor.

Vulnerabilidades corregidas en la compilación 10091

1. Se han solucionado problemas de seguridad como la incompatibilidad con algunos tipos de archivo, la elevación de privilegios de los usuarios en la consola web y la inyección de HTML.
2. Se ha solucionado el problema de inyección de SQL
3. Se ha mejorado el mecanismo de autenticación de los servlets.

Vulnerabilidades corregidas en la compilación 10087

1. Problema de inyección de SQL que permitía poner código malicioso en sentencias SQL en la entrada de páginas web.
2. Problema de inyección de scripts en el que la entrada del usuario en un script web se colocaba en el HTML de salida sin que se comprobara si había código HTML o scripts.
3. Problema de elevación de privilegios en el que un usuario con privilegios inferiores podía ejecutar tareas con privilegios superiores en la consola de Browser Security Plus.
4. Verificación de incompatibilidad con algunos tipos de archivo.
5. Mecanismo de autenticación en servlets.

Vulnerabilidad corregida en la compilación 10082

1. Se ha corregido la exposición de información confidencial como el dominio, el puerto y la dirección IP del cliente en la consola del producto.

Vulnerabilidades corregidas en la compilación 10057

1. Exposición de información en los logs de aplicación.
2. Vulnerabilidad de scripting entre sitios (XSS) durante el inicio de sesión.
3. Escalamiento de privilegios local - El uso del directorio de instalación predeterminado, "C:/ManageEngine" generó una vulnerabilidad en la que cualquier usuario autenticado localmente podía ver/añadir/eliminar/modificar archivos en "C:/ManageEngine". Por lo tanto, como medida de seguridad, hemos cambiado el directorio de instalación predeterminado por "\ManageEngine\BrowserSecurityPlus".
4. Escalamiento de privilegios local para PGSQL - Los usuarios con acceso al sistema podían acceder a la base de datos que requiere privilegios de administrador.
5. Inyección de SQL ciego en tablas.

Actualice a la última versión para solucionar estos problemas.