Ejecución de código en productos F-Secure para servidores

---

F-Secure ha publicado un boletín de seguridad que corrige una

vulnerabilidad de alto riesgo en varios de sus productos para

servidores. El fallo podría permitir la ejecución de código SQL

arbitrario en el sistema afectado.



La vulnerabilidad se debe a un error en un componente DLL relacionado

con el control ActiveX, que podría permitir conexiones con el driver

ODBC (Open DataBase Connectivity, un estándar de acceso a las bases de

datos) cuando se utiliza el navegador web Internet Explorer.



Un atacante podría explotar esta vulnerabilidad y lograr ejecutar

sentencias SQL arbitrarias persuadiendo a un usuario para que visite un

sitio web especialmente diseñado si el servidor local utiliza

laautenticación local.



La vulnerabilidad ha sido descubierta por Andrea Micalizzi, alias rgod,

y no dispone de identificador CVE.



Los productos afectados son los siguientes:



* F-Secure Anti-Virus para Microsoft Exchange Server 9.x

* F-Secure Anti-Virus para Windows Servers 9.00

* F-Secure Anti-Virus para Citrix Servers 9.00

* F-Secure Email y Server Security 9.20

* F-Secure Server Security 9.20

* F-Secure Protection Service para Business (PSB) Email y Server

Security 9.20

* F-Secure Protection Service para Business (PSB) Server Security 9.20



F-Secure ha publicado parches que se encuentran disponibles en el FTP

oficial (ftp://ftp.f-secure.com/support/hotfix/) para todos estos

productos, salvo para PSB cuya actualización se realiza de forma

automática.





http://unaaldia.hispasec.com/2013/04/ejecucion-de-codigo-en-productos-f.html