CVE-2014-9619
WysokieStreszczenie
W podatności CVE-2014-9619 występuje nieograniczony upload plików w Netsweeper, co pozwala zdalnym użytkownikom z uprawnieniami administratora na wykonanie dowolnego kodu PHP poprzez przesłanie pliku z podwójnym rozszerzeniem.
Ocena ryzyka
Organizacje mogą być narażone na zdalne wykonanie kodu, co może prowadzić do przejęcia kontroli nad systemem lub wycieku danych.
Rekomendacja
Zaleca się aktualizację Netsweeper do wersji 3.1.10, 4.0.9 lub 4.1.2, aby usunąć tę podatność oraz wdrożenie dodatkowych zabezpieczeń dotyczących uploadu plików.
Inne podatności w Netsweeper
Zobacz wszystkie- CVE-2014-9616Wysokie
Netsweeper w wersjach przed 3.1.10, 4.0.x przed 4.0.9 oraz 4.1.x przed 4.1.2 umożliwia zdalnym atakującym uzyskanie wrażliwych informacji poprzez wysłanie żądania, które przekierowuje na stronę odmowy.
- CVE-2014-9605Wysokie
WebUpgrade w Netsweeper przed wersją 3.1.10, 4.0.x przed 4.0.9 oraz 4.1.x przed 4.1.2 pozwala zdalnym atakującym na ominięcie uwierzytelnienia i stworzenie kopii zapasowej systemu, ponowne uruchomienie serwera lub zatrzymanie filtrów na serwerze poprzez użycie znaku ' (pojedynczy apostrof) w parametrach logowania i hasła.
- CVE-2014-9611Krytyczne
Netsweeper w wersjach przed 4.0.5 umożliwia zdalnym atakującym ominięcie uwierzytelniania oraz tworzenie dowolnych kont i polityk poprzez wysłanie żądania do webadmin/nslam/index.php.
Oryginalny opis (angielski, źródło NVD)
Unrestricted file upload vulnerability in webadmin/ajaxfilemanager/ajaxfilemanager.php in Netsweeper before 3.1.10, 4.0.x before 4.0.9, and 4.1.x before 4.1.2 allows remote authenticated users with admin privileges on the Cloud Manager web console to execute arbitrary PHP code by uploading a file with a double extension, then accessing it via a direct request to the file in webadmin/deny/images/, as demonstrated by secuid0.php.gif.