ICS Calendar <= 10.12.0.2 - Authenticated (Contributor+) Arbitrary File Read and Server-Side Request Forgery

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin ICS Calendar, que permite la lectura arbitraria de archivos y la realización de solicitudes del lado del servidor para usuarios autenticados con rol de colaborador o superior. Esta vulnerabilidad tiene un alto nivel de severidad con un CVSS de 8.8.

Contexto técnico

La vulnerabilidad se clasifica como SSRF (Server-Side Request Forgery), lo que significa que un atacante autenticado puede manipular el servidor para acceder a archivos internos o realizar solicitudes a otros recursos dentro de la red local, exponiendo así información sensible.

Impacto potencial

La explotación de esta vulnerabilidad puede comprometer la confidencialidad de datos críticos y permitir a un atacante acceder a información que no debería estar disponible, lo que podría llevar a una pérdida de confianza por parte de los usuarios y daños a la reputación de la organización.

Vector de explotación

Los atacantes suelen aprovechar esta vulnerabilidad enviando peticiones manipuladas a través del plugin ICS Calendar, lo que les permite leer archivos arbitrarios en el servidor o realizar solicitudes a servicios internos.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin ICS Calendar a la versión 10.12.0.3 o superior. Además, se sugiere revisar los permisos de usuario y aplicar prácticas de hardening en la configuración del servidor.

Señales de detección

Se deben monitorizar los logs del servidor en busca de patrones inusuales de acceso a archivos o solicitudes a recursos internos que no deberían ser accesibles por los usuarios autenticados.

Alcance afectado

La vulnerabilidad afecta a todas las versiones del plugin ICS Calendar hasta la 10.12.0.2. Es crucial que todos los usuarios que utilicen este plugin verifiquen su versión y realicen la actualización necesaria.