HP System Management Homepage sérülékenységek

CH azonosító

CH-3667

Angol cím

HP System Management Homepage Multiple Vulnerabilities

Felfedezés dátuma

2010.09.15.

Súlyosság

Közepes

Érintett rendszerek

Hewlett Packard (HP)
System Maangement Homepage

Érintett verziók

HP System Management Homepage 2.x
HP System Management Homepage 3.x
HP System Management Homepage 6.x

Összefoglaló

A HP ismertette a HP System Management Homepage biztonsági hibáit és sérülékenységeit, amelyek közül vannak ismeretlen hatásúak, míg a többi sérülékenységet a támadók kihasználhatják érzékeny információk felfedésére, cross-site scripting (XSS/CSS) támadásokra, bizonyos adatok megváltoztatására és szolgáltatás megtagadás (DoS – Denial of Service) okozására.

Leírás

  1. Egyes részletesen nem ismertetett bemenetek felhasználás előtti ellenőrzése nem megfelelő.
    Bővebb információ:
    CERT-Hungary CH-3664
  2. Egyes bemeneti adatok nincsenek megfelelően megtisztíva, mielőtt HTTP kérésekben használnák, ez kihasználható HTTP válasz szétválasztó (HTTP response splitting) támadásokra.
  3. A mod_proxy_http Apache modul nem megfelően kezeli az időtúllépési feltételeket, ami azt eredményezi, hogy a válaszok nem az illetékes felhasználóhoz kerülnek vissza.
    Bővebb információ:
    CERT-Hungary CH-3215
  4. A $_SESSION megszakítás elleni védelméhez kapcsolódó hibáknak és a gyenge “session.save_path” ellenőrzésnek nem ismertek a hatásai.
    Bővebb információ:
    CERT-Hungary CH-2745
  5. Az űrlap alapú fájl feltöltés feldolgozási hibája kihasználható szolgáltatás megtagadás (Dos – Denial of Service) okozására speciálisan erre a célra készített kérések küldésével.
  6. Egy hiba jelentkezik a TLS protokol munkafázis újraegyeztetése közben.

A sérülékenységeket a 6.2 verziót megelőzőekben jelentették.

Megoldás

Frissítsen a legújabb verzióra