CA ARCserve D2D adminisztratív web interfész sérülékenység


2011. július 27. 11:40

CH azonosító

CH-5268

Angol cím

CA ARCserve D2D Administrative Web Interface Security Bypass Vulnerability

Felfedezés dátuma

2011.07.26.

Súlyosság

Közepes

Érintett rendszerek

ARCServe D2D
Computer Associates (CA)

Érintett verziók

CA ARCServe D2D r15

Összefoglaló

A CA ARCserve D2D egy sérülékenységét fedezték fel, amelyet kihasználva a támadó megkerülhet bizonyos biztonsági szabályokat és feltörheti a sérülékeny rendszert.

Leírás

A sérülékenység oka, hogy a “homepageServlet” servlet nem hitelesít bizonyos Google Web Toolkit (GWT) RPC kéréseket. Ez kihasználható speciálisan erre a célra készített HTTP POST kérésekkel, hogy megszerezzék az adminisztratív bizonyítványokat, amely lehetővé teszi tetszőleges backup parancs létrehozását.

A sérülékenységet az r15 Build 575-ös verzióban igazolták. Más verziók is érintettek lehetnek.

Megoldás

Korlátozza az adminisztratív web interfészhez történő hozzáférést (pl.: TCP 8014-es port) csak a megbízható hosztokra.

Támadás típusa

Authentication Issues (Hitelesítés)

Szükséges hozzáférés

Local/Shell (Helyi/shell)

Hivatkozások

SECUNIA 45379
Egyéb referencia: retrogod.altervista.org

Legfrissebb sérülékenységek
CVE-2024-53104 – Linux Kernel sérülékenysége
CVE-2025-7656 – Google Chrome sérülékenysége
CVE-2025-6541 – TP-Link sérülékenysége
CVE-2025-61884 – Oracle E-Business Suite Server-Side Request Forgery (SSRF) sérülékenysége
CVE-2025-2747 – Kentico Xperience CMS Authentication Bypass Using an Alternate Path or Channel sérülékenysége
CVE-2025-2746 – Kentico Xperience CMS Authentication Bypass Using an Alternate Path or Channel sérülékenysége
CVE-2022-48503 – Apple Multiple Products Unspecified sérülékenysége
CVE-2025-54957 – Dolby UDC out-of-bounds write sérülékenysége
CVE-2025-9968 – ASUS Armoury Crate sérülékenysége
CVE-2025-9337 – ASUS Armoury Crate sérülékenysége
Tovább a sérülékenységekhez »