Cybozu Garoon Keitai hitelesítés megkerüléses és SQL befecskendezéses sérülékenységek

CH azonosító

Angol cím

Felfedezés dátuma

Súlyosság

Érintett rendszerek

Érintett verziók

Cybozu Garoon 3.x

Összefoglaló

Két sérülékenységet jelentettek Cybozu Garoon-ban.

Leírás

A sérülékenységeket kihasználva rosszindulatú felhasználók SQL befecskendezéses támadásokat hajthatnak végre és a támadók megkerülhetnek bizonyos biztonsági szabályokat.

1.) Az alkalmazás-programozási felületen (API) keresztül bevitt adatok nincsenek megfelelően ellenőrizve, mielőtt felhasználnák azokat SQL lekérdezésben. Ez kihasználható SQL lekérdezések módosítására tetszőleges SQL kód befecskendezésével.

Ezen sérülékenységet a 3.7. Service Pack 2 verzióban és a korábbi verizókban jelentették.

2) A Keitai hitelesítés kezelési hibája kihasználható a hitelesítés megkerülésére és hozzáférést biztosít bizonyos, a felhasználó számára egyébként korlátozott információkhoz a KEITAI-t – egy speciálisan elkészített kérés küldéssel – felhasználva.

Ezen sérülékenységet a 3.5. – 3.7. Service Pack 2 verziókban jelentették.

Megoldás

Támadás típusa

Hatás

Szükséges hozzáférés

Hivatkozások

SECUNIA 56202

CVE-2013-6006 - NVD CVE-2013-6006

CVE-2013-6929 - NVD CVE-2013-6929

Gyártói referencia: support.cybozu.com

Gyártói referencia: support.cybozu.com