CH azonosító
CH-6343Angol cím
ManageEngine Applications Manager Multiple Cross-Site Scripting VulnerabilitiesFelfedezés dátuma
2012.01.31.Súlyosság
AlacsonyÉrintett rendszerek
ManageEngine Applications ManagerZOHO
Érintett verziók
Zoho ManageEngine Applications Manager 10.x
Összefoglaló
A ManageEngine Applications Manager olyan sérülékenységei váltak ismertté, amelyeket a támadók kihasználhatnak cross-site scripting (XSS) támadások kezdeményezésére.
Leírás
- A jsp/ThresholdActionConfiguration.jsp “redirectto” paraméterének és a Search.do “query” paraméterének átadott bemenet nincs megfelelően ellenőrizve, mielőtt visszakerül a felhasználóhoz. Ez kihasználható tetszőleges HTML és script kód futtatására az érintett oldal felhasználói böngésző munkamenetében.
- A jsp/PopUp_Graph.jsp-ben az “attName” paraméternek (amikor “resids” értéke “attids”) és a showresource.do-ban a “selectedNetwork”, “network” és “group” paramétereknek (amikor “method” értéke “showResourceTypesAll”) átadott bemenet nincs megfelelően ellenőrizve, mielőtt visszakerül a felhasználóhoz. Ez kihasználható tetszőleges HTML és script kód futtatására az érintett oldal felhasználói böngésző munkamenetében.
A sérülékenységeket a 10.2. verzióban igazolták, de más verziók is érintettek lehetnek.
Megoldás
Rosszindulatú karakterláncok szűrése proxy segítségévelTámadás típusa
Input manipulation (Bemenet módosítás)Hatás
Loss of confidentiality (Bizalmasság elvesztése)Loss of integrity (Sértetlenség elvesztése)
Szükséges hozzáférés
Remote/Network (Távoli/hálózat)Hivatkozások
Egyéb referencia: www.vulnerability-lab.com
SECUNIA 47724