CVE-2014-9605
WysokieStreszczenie
WebUpgrade w Netsweeper przed wersją 3.1.10, 4.0.x przed 4.0.9 oraz 4.1.x przed 4.1.2 pozwala zdalnym atakującym na ominięcie uwierzytelnienia i stworzenie kopii zapasowej systemu, ponowne uruchomienie serwera lub zatrzymanie filtrów na serwerze poprzez użycie znaku ' (pojedynczy apostrof) w parametrach logowania i hasła.
Ocena ryzyka
Atakujący mogą uzyskać nieautoryzowany dostęp do systemu, co może prowadzić do poważnych konsekwencji, takich jak utrata danych lub przerwanie działania usług.
Rekomendacja
Zaleca się aktualizację Netsweeper do najnowszej wersji, aby usunąć tę podatność oraz wdrożenie dodatkowych środków zabezpieczających, takich jak monitorowanie logów i ograniczenie dostępu do interfejsu administracyjnego.
Inne podatności w Netsweeper
Zobacz wszystkie- CVE-2014-9619Wysokie
W podatności CVE-2014-9619 występuje nieograniczony upload plików w Netsweeper, co pozwala zdalnym użytkownikom z uprawnieniami administratora na wykonanie dowolnego kodu PHP poprzez przesłanie pliku z podwójnym rozszerzeniem.
- CVE-2014-9616Wysokie
Netsweeper w wersjach przed 3.1.10, 4.0.x przed 4.0.9 oraz 4.1.x przed 4.1.2 umożliwia zdalnym atakującym uzyskanie wrażliwych informacji poprzez wysłanie żądania, które przekierowuje na stronę odmowy.
- CVE-2014-9611Krytyczne
Netsweeper w wersjach przed 4.0.5 umożliwia zdalnym atakującym ominięcie uwierzytelniania oraz tworzenie dowolnych kont i polityk poprzez wysłanie żądania do webadmin/nslam/index.php.
Oryginalny opis (angielski, źródło NVD)
WebUpgrade in Netsweeper before 3.1.10, 4.0.x before 4.0.9, and 4.1.x before 4.1.2 allows remote attackers to bypass authentication and create a system backup tarball, restart the server, or stop the filters on the server via a ' (single quote) character in the login and password parameters to webupgrade/webupgrade.php. NOTE: this was originally reported as an SQL injection vulnerability, but this may be inaccurate.