TIBCO Managed File Transfer termékek cross-site scripting és munkamenet rögzítés sérülékenységei

CH azonosító

Angol cím

Felfedezés dátuma

Súlyosság

Érintett rendszerek

Érintett verziók

TIBCO Managed File Transfer Command Center 7.x
TIBCO Managed File Transfer Internet Server 7.x
TIBCO Slingshot 1.x

Összefoglaló

A TIBCO Managed File Transfer termékek sérülékenységei váltak ismertté, amelyeket kihasználva a támadók cross-site scripting (CSS/XSS) és munkamenet rögzítés (session fixation) támadásokat hajthatnak végre.

Leírás

1. Bizonyos, nem részleteztt bemeneti adat nincs megfelelően megtisztítva, mielőtt visszaadásra kerülne. Ezt kihasználva tetszőleges HTML és script kódot lehet lefuttatni a felhasználó böngésző munkamenetében, az érintett oldallal kapcsolatosan.
2. A munkamenetek kezelésében jelentkező hibát kihasználva felhasználható egy másik felhasználó munkamenete, ha egy speciálisan kialakított hivatkozás meglátogatása után jelentkezik be.

A sérülékenységek a következő termékeket érintik:

• TIBCO Managed File Transfer Internet Server 7.1.0 és korábbi verziók
• TIBCO Managed File Transfer Command Center 7.1.0 és korábbi verziók
• TIBCO Slingshot 1.8.0 és korábbi verziók

Megoldás

Támadás típusa

Szükséges hozzáférés

Hivatkozások

Gyártói referencia: www.tibco.com
Gyártói referencia: www.tibco.com
SECUNIA 45976
CVE-2011-3423 - NVD CVE-2011-3423
CVE-2011-3424 - NVD CVE-2011-3424