发布日期:2014-12-30
更新日期:2015-01-11
受影响系统:
Umbraco CMS Umbraco CMS < 6.0.4
描述:
CVE(CAN) ID: CVE-2013-4793
Umbraco是一个开放源码的CMS内容管理系统,基于asp.net建立,使用mssql进行存储数据。
Umbraco CMS 6.0.4之前版本,在实现上存在安全漏洞,这可使远程攻击者通过构造的SOAP请求,利用此漏洞执行任意ASP.NET代码。该漏洞位于TemplateService组件umbraco.webservices/templates/templateService.cs内,源于update函数没有进行身份验证,有漏洞的代码:
[WebMethod]
public void update(templateCarrier carrier, string username, string password)
{
...
cms.businesslogic.template.Template template;
try
{
template = new cms.businesslogic.template.Template(carrier.Id);
}
...
template.Design = carrier.Design;
template.Save();
<*来源:MWR Labs
*>
建议:
临时解决方法:
如果您不能立刻安装补丁或者升级,NSFOCUS建议您采取以下措施以降低威胁:
* 删除负责处理Web服务请求的umbraco.webservices.dll。
或
* 在TemplateService update()起始处调用Authenticate()。
厂商补丁:
Umbraco CMS
-----------
目前厂商已经发布了升级补丁以修复这个安全问题,请到厂商的主页下载: