CH azonosító
CH-7027Angol cím
Bradford Network Sentry Multiple VulnerabilitiesFelfedezés dátuma
2012.06.12.Súlyosság
AlacsonyÖsszefoglaló
A Bradford Network Sentry olyan sérülékenysége vált ismertté, amelyeket a rosszindulatú helyi felhasználók kihasználhatnak script beszúrás (script insertion) támadások indítására, valamint a támadók cross-site request forgery (XSS/CSS) támadások kezdeményezésére és bizonyos biztonsági szabályok megkerülésére.
Leírás
- A GuestAccess.jsp részére átadott bizonyos bemeneti adat nincs megfelelően ellenőrizve, mielőtt a felhasználó részére megjelenítésre kerül. Ezt kihasználva, tetszőleges HTML és script kódot lehet futtatni a felhasználó böngészőjének munkamenetében az érintett oldal vonatkozásában.
- Az alkalmazás web-es felülete lehetőséget ad a felhasználóknak, hogy egyes műveleteket HTTP kérések segítségével végezzenek el bármiféle hitelesítés nélkül.. Ez kihasználható adminisztratív jogosultságokkal történő bizonyos műveletek végrehajtására, amennyiben a bejelentkezett adminisztrátor meglátogat egy káros tartalmú weboldalt.
- A Bradford ügynökben (agent) található hiba miatt bizonyos műveletek hitelesítés ellenőrzés nélkül kerülnek végrehajtásra, amely kihasználható tetszőleges üzenetek megjelenítésére a felhasználó képernyőjén a 4567/UDP portra történő speciálisan kialakított kérés küldésével.
A sérülékenységeket az 5.3 NS500 verzióban ismerték fel, de más kiadások is érintettek lehetnek.
Megoldás
Frissítsen a legújabb verzióraTámadás típusa
Input manipulation (Bemenet módosítás)Security bypass (Biztonsági szabályok megkerülése)
Hatás
Loss of confidentiality (Bizalmasság elvesztése)Loss of integrity (Sértetlenség elvesztése)
Szükséges hozzáférés
Local/Shell (Helyi/shell)Remote/Network (Távoli/hálózat)
Hivatkozások
SECUNIA 47478
Egyéb referencia: www.kb.cert.org
CVE-2012-2604 - NVD CVE-2012-2604
CVE-2012-2605 - NVD CVE-2012-2605
CVE-2012-2606 - NVD CVE-2012-2606