Exploração de vulnerabilidades no Live Help em ataques de Phishing

Fonte:

Alerta do CAIS 20062005
[CAIS, 20.06.2005-13:23]

O CAIS está acompanhando desde meados de Fevereiro o aumento na incidência de páginas envolvidas em ataques do tipo phishing scam. O que chama a atenção é o fato de algumas das páginas utilizadas nestes ataques estarem hospedadas em hosts com o sistema Crafty Syntax Live Help (CSLH). CSLH é um sistema de chat voltado ao suporte on-line de usuários de um dado site.

Exemplos de casos de Phishing tratados pelo CAIS:
http://xxxx.com/livehelp/txt-db-api/index.html
http://www.xxxxxx.net/livehelp/txt-db-api/frame3.html
http://xxxxxxxxxxxxxxx.net/livehelp/txt-db-api/frame3.html
http://www.xxxxxxxxxxx.nl/livehelp/txt-db-api/bb/index.html
http://www.xxxxx.com.mx/livehelp/txt-db-api/index.html
http://xxxxxxxx.com/livehelp/txt-db-api/a/index.html

Aparentemente, o release do CSLH vulneravel é o 2.7.0, no qual os atacantes exploram uma vulnerabilidade no recurso txt-db-api (Text Based Database Support). Esta vulnerabilidade permite que arquivos maliciosos sejam copiados para o servidor web através da execução remota de código.

Entretanto, a versão 2.7 possui uma outra vulnerabilidade que, se explorada, permite a execução de código arbitrário no cliente através de cross-site scripting (XSS).

Agradecemos a John C. Hennessy (HNK Technology Solutions) e Eric Gerdes (Crafty Syntax), que nos forneceram informações importantes para elaboração deste alerta.

Sistemas afetados:

* versão 2.7.0 e anteriores (vulnerabilidade no recurso txt-db-api)
* versão 2.7.3 e antereiores (vulnerabilidade de XSS)

Correções disponíveis:

Recomenda-se atualizar o software para a versão mais recente:

* Crafty Syntax Live Help 2.12.0 (11/06/2005)

Mais informações:

* SECURITY UPDATE -- May 3, 2004 -- UPGRADE IMMEDIATELY!
* OSVDB 6744 - CraftySyntax Live Help XSS
* Cross-site scripting vulnerability in Crafy Syntax Live Help 2.7.3 and below
* Crafty Syntax Live Help - Change Log
* Como tratar incidentes de phishing
* CAIS-Alerta: Fraudes em Internet Banking

O CAIS recomenda que os administradores mantenham seus sistemas e aplicativos sempre atualizados, de acordo com as últimas versões e correções oferecidas pelos fabricantes.

Os Alertas do CAIS também são oferecidos no formato RSS/RDF :
http://www.rnp.br/cais/alertas/rss.xml