CH azonosító
CH-6059Angol cím
Axis M10 Series Network Cameras "pageTitle" Cross-Site Scripting VulnerabilityFelfedezés dátuma
2011.12.06.Súlyosság
AlacsonyÖsszefoglaló
Az Axis M10 sorozat hálózati kameráinak sérülékenysége vált ismertté, amelyet kihasználva a támadók cross-site scripting (XSS/CSS) támadásokat hajthatnak végre.
Leírás
Az admin/showReport.shtml-ben a “pageTitle” paraméter részére átadott bemeneti adat nincs megfelelően megtisztítva, mielőtt a felhasználó számára visszaadásra kerülne. Ezt kihasználva tetszőleges HTML és script kód futtatható a felhasználó böngészőjének munkamenetében az aktuális oldallal kapcsolatban.
A sérülékenységet az Axis M1054 5.21-es firmware verzióban jelentették. További verziók is érintettek lehettek.
Megoldás
Szűrje a káros karaktereket és karakter sorozatokat proxy-val.
Támadás típusa
Input manipulation (Bemenet módosítás)Hatás
Loss of confidentiality (Bizalmasság elvesztése)Loss of integrity (Sértetlenség elvesztése)
Szükséges hozzáférés
Remote/Network (Távoli/hálózat)Hivatkozások
Egyéb referencia: metzgersecurity.blogspot.com
SECUNIA 47037