Axis M10 Series Network Cameras “pageTitle” cross-site scripting sérülékenység

CH azonosító

Angol cím

Felfedezés dátuma

Súlyosság

Érintett rendszerek

Érintett verziók

Axis Network Camera

Összefoglaló

Az Axis M10 sorozat hálózati kameráinak sérülékenysége vált ismertté, amelyet kihasználva a támadók cross-site scripting (XSS/CSS) támadásokat hajthatnak végre.

Leírás

Az admin/showReport.shtml-ben a “pageTitle” paraméter részére átadott bemeneti adat nincs megfelelően megtisztítva, mielőtt a felhasználó számára visszaadásra kerülne. Ezt kihasználva tetszőleges HTML és script kód futtatható a felhasználó böngészőjének munkamenetében az aktuális oldallal kapcsolatban.

A sérülékenységet az Axis M1054 5.21-es firmware verzióban jelentették. További verziók is érintettek lehettek.

Megoldás

Szűrje a káros karaktereket és karakter sorozatokat proxy-val.

Támadás típusa

Szükséges hozzáférés

Hivatkozások

Egyéb referencia: metzgersecurity.blogspot.com
SECUNIA 47037