CVE-2014-6261
WysokieStreszczenie
Zenoss Core w wersjach do 5 Beta 3 nieprawidłowo implementuje funkcję Sprawdź aktualizacje, co pozwala zdalnym atakującym na wykonanie dowolnego kodu poprzez fałszowanie serwera callhome lub wdrażanie spreparowanej strony internetowej odwiedzanej podczas sesji logowania.
Ocena ryzyka
Atakujący mogą wykorzystać tę podatność do zdalnego wykonania kodu, co może prowadzić do przejęcia kontroli nad systemem lub wycieku danych.
Rekomendacja
Zaleca się aktualizację Zenoss Core do najnowszej wersji, aby usunąć tę podatność oraz wdrożenie dodatkowych środków zabezpieczających, takich jak monitorowanie ruchu sieciowego.
Inne podatności w Zenoss Core
Zobacz wszystkie- CVE-2014-9249Wysokie
Domyślna konfiguracja Zenoss Core przed wersją 5 umożliwia zdalnym atakującym odczyt lub modyfikację informacji w bazie danych poprzez połączenie z nieokreślonymi otwartymi portami.
- CVE-2014-6256Wysokie
Zenoss Core w wersji do 5 Beta 3 umożliwia zdalnym atakującym ominięcie zamierzonych ograniczeń dostępu i umieszczanie plików w katalogu z publicznym dostępem do odczytu lub wykonania poprzez akcję przenoszenia.
Oryginalny opis (angielski, źródło NVD)
Zenoss Core through 5 Beta 3 does not properly implement the Check For Updates feature, which allows remote attackers to execute arbitrary code by (1) spoofing the callhome server or (2) deploying a crafted web site that is visited during a login session, aka ZEN-12657.