Tanto en Alfresco Enterprise como en Community se han detectado dos vulnerabilidades relacionadas con el acceso a la información en el repositorio.
El pasado viernes se publicaron estas dos alertas ALF-13721, ALF-13726, aunque se explican en cada uno de esos casos en el Jira de Alfresco, voy a explicarlos para aclarar ciertas dudas que pueden surgir y entender bien la gravedad de ambos casos.
- ALF-13721, La API REST de SOLR permite acceso no-autenticado al contenido del repositorio.
En realidad se permite el acceso no autenticado a los índices generados por SOLR para cualquier contenido con índices. Por lo tanto esta vulnerabilidad afecta sólo a versiones 4.0.0 Enterprise y 4.0.{a,b,c,d} Community. Está resuelto en la versión 4.0.1 Enterprise y se puede resolver en versiones Community muy fácilmente como se explica en el foro de Alfresco en español añadiendo las lineas correspondientes al fichero web.xml de la aplicación Alfresco. Básicamente la solución es proteger estos paths /alfresco/s/api/solr, /alfresco/wcservice/api/solr y /alfresco/wcs/api/solr como se indica en la alerta. En la próxima versión Community ya vendrá resuelto, y como decía en la versión Enterprise 4.0.1 ya está resuelto.
- ALF-13726, Ejecución remota de código mediante el procesador de XSLT para Web Scripts (Web Script XSLT Processor)
Esta vulnerabilidad también afecta a versiones anteriores de Alfresco tanto Enterprise como Community (3.X) además de las versiones 4.0.0 Enterprise y 4.0.{a,b,c,d} Community. Trata de una forma de acceder al repositorio invocando clases Java específicas mediante el motor XSLT. Para explotar esta vulnerabilidad hay que tener acceso previo al repositorio y subir un fichero concreto para poder invocarlo posteriormente mediante un web script. Para clientes con versiones 3.4.X se publicará resuelto en la versión 3.4.9 y también hay un parche específico disponible en el ticket de Jira. Se puede solucionar fácilmente tanto en Enterprise como Community siguiendo estas indicaciones o aplicando el diff que se puede descargar del ticket.
Ya sabes, a actualizar y mantener tu sistema al día, seguro y protegido.