CVE-2009-4491
CriticalSummary
thttpd w wersji 2.25b0 zapisuje dane do pliku dziennika bez sanitizacji znaków nieczytelnych, co może umożliwić zdalnym atakującym modyfikację tytułu okna lub potencjalne wykonanie dowolnych poleceń czy nadpisanie plików poprzez żądanie HTTP zawierające sekwencję ucieczki dla emulatora terminala.
Risk Assessment
Organizacja może być narażona na ataki, które pozwalają na nieautoryzowane modyfikacje systemu lub wykonanie złośliwego kodu, co może prowadzić do utraty danych lub naruszenia bezpieczeństwa.
Recommendation
Zaleca się aktualizację do nowszej wersji thttpd, która poprawia sanitizację danych zapisywanych w plikach dziennika oraz przeglądanie i monitorowanie logów w celu wykrycia potencjalnych prób ataków.
Original NVD description (English source)
thttpd 2.25b0 writes data to a log file without sanitizing non-printable characters, which might allow remote attackers to modify a window's title, or possibly execute arbitrary commands or overwrite files, via an HTTP request containing an escape sequence for a terminal emulator.