Összefoglaló
A PHP iCalendar olyan sérülékenysége vált ismertté, melyet kihasználva rosszindulatú támadók megkerülhetnek egyes biztonsági korlátozásokat.
Leírás
A PHP iCalendar olyan sérülékenysége vált ismertté, melyet kihasználva rosszindulatú támadók megkerülhetnek egyes biztonsági korlátozásokat.
A sérülékenység oka, hogy az admin/index.php-ra nem megfelelő biztonsági korlátozások vonatkoznak. Ez kihasználható tetszőleges tartalmú naptár fájl feltöltésére speciálisan szerkesztett kérés küldésével az érintett scriptnek.
A sérülékenység a 2.3.4-es verzióban található, egyéb verziók is érintettek lehetnek.
Megoldás
Korlátozza a hozzáférést az “admin/” könyvtárhoz (például “.htaccess” segítségével)!
Támadás típusa
Input manipulation (Bemenet módosítás)Hatás
Loss of confidentiality (Bizalmasság elvesztése)Loss of integrity (Sértetlenség elvesztése)
Szükséges hozzáférés
Remote/Network (Távoli/hálózat)Hivatkozások
SECUNIA 31944
Egyéb referencia: milw0rm.com