Összefoglaló
Az Openfire szoftver néhány olyan sérülékenysége vált ismerté, amelyet kihasználva rosszindulatú felhasználók megkerülhetik a biztonsági előírásokat.
Leírás
Az Openfire szoftver néhány olyan sérülékenysége vált ismerté, amelyet kihasználva rosszindulatú felhasználók megkerülhetik a biztonsági előírásokat.
-
A sérülékenységet az okozza, hogy az Openfire nem megfelelően veszi figyelembe a “no password changes” beállítást, ami kihasználható a jelszó megváltoztatására jabber:iq:auth “passwd_change” kérések küldésével a szerver felé.
A sérülékenységet a 3.6.3 verzióban jelentették, de más kiadások is érintettek lehetnek.
-
A sérülékenységet az okozza, hogy az alkalmazás nem ellenőrzi megfelelően a jabber:iq:auth “passwd_change” kéréseket, ami kihasználható egy másik felhasználó jelszavának megváltoztatására, egy speciálisan elkészített kérés küldésével a szerver felé.
A sikeres kihasználáshoz érvényes felhasználói fiók szükséges.A sérülékenységet a 3.6.4. előtti verziókban jelentették.
Megoldás
Csak megbízható felhasználóknak engedélyezze a hozzáférést!
Támadás típusa
Input manipulation (Bemenet módosítás)Hatás
Loss of confidentiality (Bizalmasság elvesztése)Szükséges hozzáférés
Local/Shell (Helyi/shell)Hivatkozások
Egyéb referencia: www.igniterealtime.org
SECUNIA 34984
CVE-2009-159 - NVD CVE-2009-159