Multiple vulnerabilities in Zyncro social network

Background

Zyncro es una plataforma de colaboración documental para enviar, compartir y sincronizar a nivel empresarial, orientada a facilitar la sincronización y el uso compartido dentro de una compañía.

Description

El producto presenta al menos las siguientes vulnerabilidades: inyección SQL, que explota un fallo en la capa de base de datos cuando la entrada del usuario no se filtra correctamente; Cross-Site Scripting persistente, en el que los datos del atacante se guardan en el servidor y se muestran a otros usuarios sin escapar el HTML; y credenciales transferidas mediante cookie, ya que es posible recuperar el correo y la contraseña con los que el usuario entra en la aplicación.

Business impact

El impacto depende de cada vulnerabilidad. El peor escenario es la exposición de todos los datos de la base de datos mediante una inyección SQL ciega, con la que pueden leerse mensajes arbitrarios, incluidos los privados. Otro escenario crítico combina el XSS persistente con la cookie _auth para enviarla a un servidor controlado por el atacante: se obtienen las credenciales en texto plano (decodificando tres veces en base64) y se puede acceder a la aplicación como la víctima.

Systems affected

Todas las versiones de Zyncro: www.zyncro.com (sitio principal) y my.zyncro.com (plataforma de demostración).

Solution

Sanear todos los datos enviados por el usuario antes y después de decodificarlos para evitar inyección SQL; sanear los datos enviados al usuario para evitar XSS; y cambiar el diseño de la autenticación para que no requiera el correo y la contraseña en la cookie.

Disclosure timeline

References

The information contained within this advisory is supplied 'as-is' with no warranties or guarantees of fitness of use or otherwise. Internet Security Auditors accepts no responsibility for any damage caused by the use or misuse of this information.