CH azonosító
CH-4726Angol cím
FiberHome HG-110 Router Cross-Site Scripting and File Disclosure VulnerabilitiesFelfedezés dátuma
2011.04.13.Súlyosság
AlacsonyÖsszefoglaló
A FiberHome HG-110 router olyan sérülékenységei váltak ismertté, amelyeket a támadók kihasználhatnak cross-site scripting (XSS) támadások indítására és bizalmas információk felfedésére.
Leírás
- A cgi-bin/webproc “getpage” paraméterének átadott bemenet (amikor “var:menu” értéke “advanced” és “var:page” értéke “dns”) nem kerül megfelelően ellenőrzésre, mielőtt visszakerül a felhasználóhoz. Ez kihasználható az érintett oldal felhasználói böngésző munkamenetében történő tetszőleges kód futtatására.
- A cgi-bin/webproc “getpage” paraméterének átadott bemenet (amikor “var:menu” értéke “advanced” és “var:page” értéke “dns”) nem kerül megfelelően ellenőrzésre, mielőtt a fájlok megjelenítésére használnák. Ez könyvtárbejárásos támadásokkal kihasználható tetszőleges fájlok tartalmának felfedésére.
A sérülékenységeket az 1.0.0. firmware verzióban ismerték fel (HG110_BH_V1.6 szoftver verzió), de más verziók is érintettek lehetnek.
Megoldás
Szűrje a rosszindulatú karaktereket és karakterláncokat proxy segítségével!
Támadás típusa
Input manipulation (Bemenet módosítás)Hatás
Loss of confidentiality (Bizalmasság elvesztése)Loss of integrity (Sértetlenség elvesztése)
Szükséges hozzáférés
Local/Shell (Helyi/shell)Hivatkozások
SECUNIA 44085
Egyéb referencia: archives.neohapsis.com
Egyéb referencia: blog.zerial.org