CVE-2013-2642
WysokieStreszczenie
Sophos Web Appliance w wersjach przed 3.7.8.2 umożliwia zdalnym atakującym wykonanie dowolnych poleceń poprzez metaznaki powłoki w parametrze client-ip na stronie blokady oraz zdalnym uwierzytelnionym użytkownikom wykonanie dowolnych poleceń poprzez metaznaki powłoki w parametrach url i entries.
Ocena ryzyka
Wykorzystanie tej podatności może prowadzić do przejęcia kontroli nad systemem przez zdalnych atakujących, co stwarza poważne zagrożenie dla bezpieczeństwa organizacji.
Rekomendacja
Zaleca się aktualizację Sophos Web Appliance do wersji 3.7.8.2 lub nowszej, aby usunąć tę podatność oraz przeglądanie i ograniczenie dostępu do funkcji, które mogą być narażone na ataki.
Inne podatności w Sophos Web Appliance
Zobacz wszystkie- CVE-2017-6412Wysokie
W urządzeniach Sophos Web Appliance (SWA) przed wersją 4.3.1.2 może wystąpić podatność na atak typu Session Fixation, znana również jako NSWA-1310.
- CVE-2014-2850Wysokie
Strona konfiguracji interfejsu sieciowego w Sophos Web Appliance przed wersją 3.8.2 umożliwia zdalnym administratorom wykonywanie dowolnych poleceń za pomocą metaznaków powłoki w parametrze adresu.
- CVE-2014-2849Wysokie
Okno dialogowe zmiany hasła w Sophos Web Appliance przed wersją 3.8.2 pozwala zdalnym, uwierzytelnionym użytkownikom na zmianę hasła administratora za pomocą odpowiednio skonstruowanego żądania.
- CVE-2023-33336Średnie
Wykryto podatność typu reflected cross site scripting (XSS) w Sophos Web Appliance w wersji 4.3.9.1, która umożliwia wprowadzenie dowolnego kodu za pomocą podwójnych cudzysłowów.
Oryginalny opis (angielski, źródło NVD)
Sophos Web Appliance before 3.7.8.2 allows (1) remote attackers to execute arbitrary commands via shell metacharacters in the client-ip parameter to the Block page, when using the user_workstation variable in a customized template, and remote authenticated users to execute arbitrary commands via shell metacharacters in the (2) url parameter to the Diagnostic Tools functionality or (3) entries parameter to the Local Site List functionality.