A Computer Associates (CA) reportou uma falha não corrigida no seu software de segurança, iGateway, que pode ser explorada por atacantes remotos para obter o controle do sistema. A CA informou que a falha é decorrente das verificações impróprias realizadas pelo iGateway, quando o modo debug está ativado.
Quando explorada, a falha pode causar um erro de buffer overflow e executar códigos arbitrários. O erro foi confirmado nas versões 3.0 e 4.0 do iGateway fornecidos antes de 23 de junho de 2005.
O iGateway está presente em produtos como o BrightStor ARCserve 2000, BrightStor Enterprise Backup e BrightStor Portal. O modo debug, no entanto, não é ativado por padrão.
Computer Associates has reported an unpatched flaw in its iGateway security software, which allows remote attackers to take over a system and execute arbitrary code. CA says the vulnerability is due to improper bounds checking of HTTP GET requests by iGateway, when the debug mode is enabled.
Remote attackers can exploit this vulnerability to cause a buffer overflow and execute arbitrary code. The vulnerability exists in versions of 3.0 and 4.0 of iGateway supplied before 23 June 2005. IGateway is shipped with products such as BrightStor ARCserve 2000, BrightStor Enterprise Backup and BrightStor Portal. The debug mode is not enabled by default however.
Mais informações: ComputerWeekly
