Offline Explorer, de MetraProducts, es un programa para entornos Windows 9x/NT que permite descargar sitios Web y FTP al disco duro local para su posterior visualización y edición. Para poder mostrar las páginas, Offline Explorer instala un servidor Web que es accesible de forma remota y permite acceder a cualquier fichero del sistema fuera incluso del ámbito de los directorios caché donde se almacenan las páginas Web.
El servidor Web, que debería estar accesible sólo en local, puede ser visualizado de forma remota por cualquiera interrogando el puerto 800. Esta funcionalidad cobra aun mayor importancia debido a que es posible subir directorios a través de peticiones GET con «../..» y leer cualquier fichero del sistema.
De momento MetaProducts no ha facilitado actualización alguna para paliar el problema, hasta entonces la solución pasa por permitir tan sólo al localhost el acceso al puerto 800 a través del firewall, impidiendo así cualquier acceso remoto.
Más informaci¢n:
MetaProducts:
http://www.metaproducts.com
SecurityFocus:
http://www.securityfocus.com/bid/1231
Bernardo Quintero
bernardo@hispasec.com
