HP SiteScope cross-site scripting és munkamenet fixálási sérülékenységek

CH azonosító

Angol cím

Felfedezés dátuma

Súlyosság

Érintett rendszerek

Érintett verziók

HP SiteScope 10.x
HP SiteScope 11.x
HP SiteScope 9.x

Összefoglaló

Két sérülékenységet jelentettek a HP SiteScope szoftverben, amelyeket a támadók kihasználhatnak cross-site scripting (XSS/CSS) és munkamenet fixálási támadások lefolytatásához.

Leírás

1. Egy nem részletezett bemeneti adat nincs megfelelően megtisztítva mielőtt visszakerülne a felhasználóhoz. Ez kihasználható tetszőleges HTML és script kód futtatására a felhasználó böngészőjének munkamenetében, az érintett oldallal kapcsolatosan.
2. Egy munkamenet kezelési hiba kihasználható egy másik felhasználó munkamenetének eltérítéséhez, úgy hogy a felhasználó egy preparált linket követ a bejelentkezés előtt.

A sérülékenységeket a 11.x, 10.x, 9.x és korábbi Linuxos, Unixos és Windowsos platformoknál jelentették.

Megoldás

Támadás típusa

Szükséges hozzáférés

Hivatkozások

SECUNIA 45440
Egyéb referencia: h20566.www2.hp.com
CVE-2011-2400 - NVD CVE-2011-2400
CVE-2011-2401 - NVD CVE-2011-2401