Cybozu Garoon Keitai hitelesítés megkerüléses és SQL befecskendezéses sérülékenységek

CH azonosító

CH-10255

Angol cím

Cybozu Garoon Keitai Authentication Bypass and SQL Injection Vulnerabilities

Felfedezés dátuma

2013.12.25.

Súlyosság

Közepes

Érintett rendszerek

Cybozu

Érintett verziók

Cybozu Garoon 3.x

Összefoglaló

Két sérülékenységet jelentettek Cybozu Garoon-ban.

Leírás

A sérülékenységeket kihasználva rosszindulatú felhasználók SQL befecskendezéses támadásokat hajthatnak végre és a támadók megkerülhetnek bizonyos biztonsági szabályokat.

1.) Az alkalmazás-programozási felületen (API) keresztül bevitt adatok nincsenek megfelelően ellenőrizve, mielőtt felhasználnák azokat SQL lekérdezésben. Ez kihasználható SQL lekérdezések módosítására tetszőleges SQL kód befecskendezésével.

Ezen sérülékenységet a 3.7. Service Pack 2 verzióban és a korábbi verizókban jelentették.

2) A Keitai hitelesítés kezelési hibája kihasználható a hitelesítés megkerülésére és hozzáférést biztosít bizonyos, a felhasználó számára egyébként korlátozott információkhoz a KEITAI-t – egy speciálisan elkészített kérés küldéssel – felhasználva.

Ezen sérülékenységet a 3.5. 3.7. Service Pack 2 verziókban jelentették.

Megoldás

Telepítse a javítócsomagokat