CVE-2016-4360

Krytyczne

Opublikowano: 08/06/2016(UTC)Przetłumaczono: 14/06/2026(UTC)NVD NIST

Streszczenie

W komponencie Performance Center Virtual Table Server (VTS) w HPE LoadRunner występuje luka, która pozwala na usunięcie dowolnych plików przez zdalnych atakujących. Problem dotyczy nieograniczonego dostępu do ścieżek plików w wywołaniach unlink.

Ocena ryzyka

Atakujący może usunąć krytyczne pliki systemowe, co prowadzi do poważnych zakłóceń w działaniu aplikacji i potencjalnej utraty danych.

Rekomendacja

Zaleca się aktualizację do najnowszej wersji HPE LoadRunner oraz Performance Center, aby zniwelować tę podatność. Należy również ograniczyć dostęp do funkcji usuwania plików.

Oryginalny opis (angielski, źródło NVD)

web/admin/data.js in the Performance Center Virtual Table Server (VTS) component in HPE LoadRunner 11.52 through patch 3, 12.00 through patch 1, 12.01 through patch 3, 12.02 through patch 2, and 12.50 through patch 3 and Performance Center 11.52 through patch 3, 12.00 through patch 1, 12.01 through patch 3, 12.20 through patch 2, and 12.50 through patch 1 do not restrict file paths sent to an unlink call, which allows remote attackers to delete arbitrary files via the path parameter to data/import_csv, aka ZDI-CAN-3555.