Corregidas dos vulnerabilidades en Websense Email Security

^E

l primero de los problemas anunciados reside en la posibilidad de provocar la caída y reinicio del servicio "stemwadm.exe" si un usuario remoto envía datos específicamente construidos al interfaz de administración web.

Una segunda vulnerabilidad reside en que el interfaz de administración no filtra adecuadamente el código HTML introducido por el usuario antes de mostrarlo. De esta forma, un atacante remoto podría crear una URL que al ser cargada por un usuario permita la ejecución de código script arbitrario en el navegador del usuario. El código se origina desde el sitio que ejecuta Websense en el contexto de seguridad de este sitio. Con ello el atacante podría acceder a las cookies (incluyendo las de autenticación) y a información recientemente enviada, además de poder realizar acciones en el sitio haciéndose pasar por la víctima.

Websense ha publicado el Hotfix 4 para Websense Email Security v7.1 disponible desde:
kb.websense.com/pf/12/webfiles/KB%20Attachments/WES/KBA4786/WES_7.1_HF4.zip