Összefoglaló
Egy sérülékenységet jelentettek a Linksys WRT54GC-ben, amelyet kihasználva támadók cross-site request forgery (XSRF) támadásokat hajthatnak végre.
Leírás
Egy sérülékenységet jelentettek a Linksys WRT54GC-ben, amelyet kihasználva támadók cross-site request forgery (XSRF) támadásokat hajthatnak végre.
A diagnostics.cgi script lehetőséget ad a felhasználóknak bizonyos HTTP kérések végrehajtására a kérés hitelességének azonosítása nélkül. Ez kihasználható például tetszőleges script kód befecskendezésére vagy szolgáltatás megtagadás (DoS) okozására “ping_address” vagy “traceroute_address” paraméterek segítségével.
A sérülékenységet az 1.01.5 és az 1.00.7. firmware verziókban jelentették, de más verziók is érintettek lehetnek.
Megoldás
Ne látogasson más weboldalakat, ha a Linksys adminisztrátori felületre be van jelentkezve!
Támadás típusa
Input manipulation (Bemenet módosítás)Hatás
Loss of confidentiality (Bizalmasság elvesztése)Loss of integrity (Sértetlenség elvesztése)
Szükséges hozzáférés
Remote/Network (Távoli/hálózat)Hivatkozások
Egyéb referencia: venturolab.pl
SECUNIA 36921