Olá.

O i3Geo utiliza um diretório temporário no servidor web para armazenar arquivos do usuário. Ferramentas como upload de shapefile ou dbf utilizam esse diretório para guardar os arquivos enviados pelo usuário.

Dependendo da configuração do servidor, esse diretório pode receber arquivos executáveis, o que representa uma brecha de segurança que pode ser explorada de forma danosa.

Na versão 4.3 (ainda em desenvolvimento) as ferramentas que fazem o upload foram modificadas para evitar esse problema, e na versão 4.2 foi corrigido no último pacote de correções.

De qualquer forma, convém que os administradores dos servidores web configurem também o servidor Apache para impedir que códigos no diretório ms_tmp sejam executados. Essa configuração é feita editando-se o arquivo httpd.conf, incluindo-se as linhas (o endereço do servidor deve ser adaptado para cada situação):

<Directory "/ms4w/tmp/ms_tmp">
    Options +Indexes
    <Files ~ "\.php$">
      Order allow,deny
      Deny from all
    </Files>
    <Files ~ "\.pl$">
      Order allow,deny
      Deny from all
    </Files>
    <Files ~ "\.py$">
      Order allow,deny
      Deny from all
    </Files>
</Directory>

Não houve até o momento nenhum caso de exploração indevida dessa vulnerabilidade, no entanto, como estou postando essa mensagem, a falha acaba sendo divulgada. É muito comum que falhas de segurança sejam exploradas justamente quando são feitos avisos de correções necessárias (é assim em grandes sistemas como Windows, IE, etc.), portanto, não deixem de fazer essa correção no httpd.conf

Autor: Edmar Moretti