Межсайтовый скриптинг в RSA SecurID ACE Agent

Сообщается, что система переадресации RSA ACE/Agent должным образом не обрабатывает некоторые символы в пользовательских данных, перед формированием страницы, которая содержит пользовательские данные. Удаленный пользователь может сконструировать специально обработанный URL, содержащий произвольный HTML код, который будет выполнен в браузере пользователя, просматривающего эту ссылку, в контексте уязвимого ACE/Agent сайта. Код может использоваться для контроля секретной фразы SecurID или другой чувствительной информации. Пример:

GET /"><script>document.location="http://foo.foo"</script> HTTP/1.0

Для устранения уязвимости, установите обновленную версию программы, которую можно скачать отсюда:

RSA ACE/Agent 5.0 for Windows:

ftp://ftp.rsasecurity.com/support/Patches/Ace/Agent/5.0.1_Agent/Win_Agent501.zip

RSA ACE/Agent 5.1 for Web:

ftp://ftp.rsasecurity.com/support/Patches/Ace/Agent/5.1.1_Agent/WebAgent5.1.1.tar.gz