Bradford Network Sentry sérülékenységek

CH azonosító

Angol cím

Felfedezés dátuma

Súlyosság

Érintett rendszerek

Érintett verziók

Bradford Network Sentry 5.x

Összefoglaló

A Bradford Network Sentry olyan sérülékenysége vált ismertté, amelyeket a rosszindulatú helyi felhasználók kihasználhatnak script beszúrás (script insertion) támadások indítására, valamint a támadók cross-site request forgery (XSS/CSS) támadások kezdeményezésére és bizonyos biztonsági szabályok megkerülésére.

Leírás

1. A GuestAccess.jsp részére átadott bizonyos bemeneti adat nincs megfelelően ellenőrizve, mielőtt a felhasználó részére megjelenítésre kerül. Ezt kihasználva, tetszőleges HTML és script kódot lehet futtatni a felhasználó böngészőjének munkamenetében az érintett oldal vonatkozásában.
2. Az alkalmazás web-es felülete lehetőséget ad a felhasználóknak, hogy egyes műveleteket HTTP kérések segítségével végezzenek el bármiféle hitelesítés nélkül.. Ez kihasználható adminisztratív jogosultságokkal történő bizonyos műveletek végrehajtására, amennyiben a bejelentkezett adminisztrátor meglátogat egy káros tartalmú weboldalt.
3. A Bradford ügynökben (agent) található hiba miatt bizonyos műveletek hitelesítés ellenőrzés nélkül kerülnek végrehajtásra, amely kihasználható tetszőleges üzenetek megjelenítésére a felhasználó képernyőjén a 4567/UDP portra történő speciálisan kialakított kérés küldésével.

A sérülékenységeket az 5.3 NS500 verzióban ismerték fel, de más kiadások is érintettek lehetnek.

Megoldás

Támadás típusa

Szükséges hozzáférés

Hivatkozások

SECUNIA 47478
Egyéb referencia: www.kb.cert.org
CVE-2012-2604 - NVD CVE-2012-2604
CVE-2012-2605 - NVD CVE-2012-2605
CVE-2012-2606 - NVD CVE-2012-2606