CH azonosító
CH-6541Angol cím
McAfee Email and Web Security Appliance and Email Gateway Multiple VulnerabilitiesFelfedezés dátuma
2012.03.14.Súlyosság
KözepesÉrintett rendszerek
Email and Web Securuty ApplianceMcAfee
Érintett verziók
McAfee Email és Web Security Appliance 5.x
McAfee Email Gateway 7.x
Összefoglaló
A McAfee Email,Web Security Appliance és McAfee Email Gateway olyan sérülékenységei váltak ismertté, amelyeket rosszindulatú felhasználók kihasználhatnak bizalmas információk felfedésére és bizonyos biztonsági szabályok megkerülésére, valamint a támadók cross-site scripting (XSS/CSS) és brute force támadások kezdeményezésére.
Leírás
- Bizonyos nem részletezett bemeneti adat nem kerül megfelelően ellenőrzésre, mielőtt a felhasználó részére visszaküldésre kerülne. Ez kihasználható tetszőleges HTML és script kód futtatására a felhasználó böngészőjének munkamenetében, az érintett oldallal kapcsolatosan.
- A jelszó alaphelyzetbe állításának funkcionális hibája kihasználható az adminisztratív felhasználók jelszavainak alaphelyzetbe állítására.
- A Dashboard felfedi az aktív munkafolyamat tokeneket és kihasználható más felhasználó böngészőjének munkamenetével történő visszaélésre.
- A rendszer biztonsági másolat készítő gyenge titkosítással tárolja a jelszavakat, amely kihasználható brute force támadások alkalmazásával a jelszavak visszafejtésére.
- Bizonyos nem részletezett bemeneti adat nem kerül megfelelően ellenőrzésre, mielőtt a fájlok letöltésére kerülne felhasználásra. Ez kihasználható könyvtárbejárásos (directory traversal) támadásokkal történő, helyi erőforrásokból származó tetszőleges fájlok letöltésére.
- Egy nem részletezett hiba kihasználható a fájlok tartalmi felfedésére.
Megjegyzés: Egy olyan sérülékenység is felismerésre került, amely szerint a szerver oldali munkafolyamat aktív marad.
A sérülékenységeket az Email és Web Security Appliance 5.5. Patch 6. megelőző és az 5.6. Patch 3., valamint az Email Gateway 7.0 Patch 1. megelőző verziókban jelentették.
Megoldás
Frissítsen a legújabb verzióraTámadás típusa
Information disclosure (Információ/adat szivárgás)Input manipulation (Bemenet módosítás)
Other (Egyéb)
Security bypass (Biztonsági szabályok megkerülése)
Hatás
Loss of confidentiality (Bizalmasság elvesztése)Loss of integrity (Sértetlenség elvesztése)
Unknown (Ismeretlen)
Szükséges hozzáférés
Remote/Network (Távoli/hálózat)Hivatkozások
SECUNIA 48406
Gyártói referencia: kc.mcafee.com