CVE-2002-1484
KrytyczneStreszczenie
Serwer DB4Web, gdy jest skonfigurowany do używania szczegółowych komunikatów debugowania, pozwala zdalnym atakującym na wykorzystanie DB4Web jako proxy do próby nawiązywania połączeń TCP z innymi systemami (skanowanie portów) poprzez żądanie URL, które określa docelowy adres IP i port, co skutkuje wyświetleniem statusu połączenia w komunikacie o błędzie.
Ocena ryzyka
Atakujący mogą wykorzystać tę podatność do skanowania portów w sieci wewnętrznej organizacji, co może prowadzić do ujawnienia informacji o dostępnych usługach i potencjalnych słabościach systemów.
Rekomendacja
Zaleca się wyłączenie szczegółowych komunikatów debugowania w konfiguracji serwera DB4Web oraz monitorowanie i ograniczenie dostępu do serwera z zewnętrznych adresów IP.
Oryginalny opis (angielski, źródło NVD)
DB4Web server, when configured to use verbose debug messages, allows remote attackers to use DB4Web as a proxy and attempt TCP connections to other systems (port scan) via a request for a URL that specifies the target IP address and port, which produces a connection status in the resulting error message.