CVE-2014-6037

Wysokie

Opublikowano: 26/10/2014(UTC)Przetłumaczono: 16/06/2026(UTC)NVD NIST

Streszczenie

Podatność na przejście do katalogu w serwlecie agentUpload w ZOHO ManageEngine EventLog Analyzer 9.0 build 9002 oraz 8.2 build 8020 pozwala zdalnym atakującym na wykonanie dowolnego kodu poprzez przesłanie pliku ZIP zawierającego plik wykonywalny z sekwencjami .. (kropka kropka) w nazwie.

Ocena ryzyka

Atakujący mogą wykorzystać tę podatność do uruchomienia złośliwego kodu na serwerze, co może prowadzić do poważnych naruszeń bezpieczeństwa i utraty danych.

Rekomendacja

Zaleca się aktualizację do wersji Build 11072, aby usunąć tę podatność oraz monitorowanie systemu pod kątem nieautoryzowanych działań.

Inne podatności w ZOHO ManageEngine EventLog Analyzer

CVE-2015-7387Wysokie
ZOHO ManageEngine EventLog Analyzer w wersji 10.6 build 10060 i wcześniejszych umożliwia zdalnym atakującym ominięcie zamierzonych ograniczeń i wykonanie dowolnych poleceń SQL poprzez dozwolone zapytanie, po którym następuje niedozwolone w parametrze zapytania do event/runQuery.do.

Oryginalny opis (angielski, źródło NVD)

Directory traversal vulnerability in the agentUpload servlet in ZOHO ManageEngine EventLog Analyzer 9.0 build 9002 and 8.2 build 8020 allows remote attackers to execute arbitrary code by uploading a ZIP file which contains an executable file with .. (dot dot) sequences in its name, then accessing the executable via a direct request to the file under the web root. Fixed in Build 11072.