CVE-2009-4491
KrytyczneStreszczenie
thttpd w wersji 2.25b0 zapisuje dane do pliku dziennika bez sanitizacji znaków nieczytelnych, co może umożliwić zdalnym atakującym modyfikację tytułu okna lub potencjalne wykonanie dowolnych poleceń czy nadpisanie plików poprzez żądanie HTTP zawierające sekwencję ucieczki dla emulatora terminala.
Ocena ryzyka
Organizacja może być narażona na ataki, które pozwalają na nieautoryzowane modyfikacje systemu lub wykonanie złośliwego kodu, co może prowadzić do utraty danych lub naruszenia bezpieczeństwa.
Rekomendacja
Zaleca się aktualizację do nowszej wersji thttpd, która poprawia sanitizację danych zapisywanych w plikach dziennika oraz przeglądanie i monitorowanie logów w celu wykrycia potencjalnych prób ataków.
Oryginalny opis (angielski, źródło NVD)
thttpd 2.25b0 writes data to a log file without sanitizing non-printable characters, which might allow remote attackers to modify a window's title, or possibly execute arbitrary commands or overwrite files, via an HTTP request containing an escape sequence for a terminal emulator.