McAfee Email and Web Security Appliance / Email Gateway sérülékenységek

CH azonosító

Angol cím

Felfedezés dátuma

Súlyosság

Érintett rendszerek

Érintett verziók

McAfee Email and Web Security Appliance 5.x
McAfee Email Gateway 7.x

Összefoglaló

A McAfee Email and Web Security Appliance és Email Gateway sérülékenységei váltak ismertté, amelyeket kihasználva a rosszindulatú felhasználók bizalmas információkat fedhetnek fel, illetve a támadók megkerülhetnek bizonyos biztonsági szabályokat és cross-site scripting (XSS/CSS) támadásokat hajthatnak végre.

Leírás

1. A hitelesítési mechanizmus egy nem részletezett hibája kihasználható adminisztratív jogosultságok megszerzésére.
2. A web interfésznek átadott bizonyos bemeneti adat nincs megfelelően ellenőrizve, mielőtt fájlok letöltéséhez felhasználásra kerülne. Ez kihasználható tetszőleges lokális fájlok letöltésére  könyvtár bejárásos támadással.
   Ez a sérülékenység csak a McAfee Email Gateway 7.x-et érinti.
3. Bizonyos nem részletezett bemeneti adat nincs megfelelően megtisztítva, mielőtt a felhasználó számára visszaadásra kerülne. Ezt kihasználva, tetszőleges HTML és script kódot lehet futtatni a felhasználó böngészőjének munkamenetében az érintett oldal vonatkozásában.

A sérülékenységek a következő termékeket érintik:

• McAfee Email Gateway (MEG) 7.0.0, 7.0.1.
• McAfee Email and Web Security (EWS) 5.6 Patch 3 és korábbi verziók
• McAfee Email and Web Security (EWS) 5.5 Patch 6 és korábbi verziók

Megoldás

Támadás típusa

Szükséges hozzáférés

Hivatkozások

Gyártói referencia: kc.mcafee.com
CVE-2012-4595 - NVD CVE-2012-4595
CVE-2012-4596 - NVD CVE-2012-4596
CVE-2012-4597 - NVD CVE-2012-4597
SECUNIA 50408