CH azonosító
CH-3567Angol cím
BugTracker.NET Custom Field SQL Injection VulnerabilityFelfedezés dátuma
2010.08.26.Súlyosság
AlacsonyÖsszefoglaló
A BugTracker.NET egy sérülékenységét jelentették, amelyet kihasználva rosszindulatú felhasználók SQL befecskendezéses (SQL injection) támadásokat okozhatnak.
Leírás
A search.aspx-ben lévő custom field paramétereken keresztül átadott bemeneti adatok nem megfelelően vannak megtisztítva, mielőtt felhasználásra kerülnének. Ezt kihasználva módosítható az SQL lekérdezés tetszőleges SQL kód beszúrásával.
A sérülékenységet a 3.4.3 verzióban jelentették. Más verziók is érintettek lehetnek.
Megoldás
Frissítsen a legújabb verzióraTámadás típusa
Input manipulation (Bemenet módosítás)Hatás
Loss of availability (Elérhetőség elvesztése)Loss of confidentiality (Bizalmasság elvesztése)
Loss of integrity (Sértetlenség elvesztése)
Szükséges hozzáférés
Remote/Network (Távoli/hálózat)Hivatkozások
Gyártói referencia: sourceforge.net
Egyéb referencia: archives.neohapsis.com
SECUNIA 41150