CVE-2016-6600
KrytyczneStreszczenie
Podatność typu directory traversal w funkcjonalności przesyłania plików w ZOHO WebNMS Framework 5.2 i 5.2 SP1 pozwala zdalnym atakującym na przesyłanie i wykonywanie dowolnych plików JSP poprzez wykorzystanie parametru fileName z sekwencją .. (kropka kropka).
Ocena ryzyka
Atakujący mogą wykorzystać tę podatność do przesyłania złośliwego kodu, co może prowadzić do przejęcia kontroli nad systemem lub wycieku danych.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji ZOHO WebNMS Framework oraz wdrożenie odpowiednich mechanizmów zabezpieczających przed atakami typu directory traversal.
Inne podatności w ZOHO WebNMS Framework 5.2 and 5.2 SP1
Zobacz wszystkie- CVE-2016-6603Krytyczne
Framework ZOHO WebNMS w wersji 5.2 i 5.2 SP1 umożliwia zdalnym atakującym ominięcie uwierzytelniania i podszywanie się pod dowolnych użytkowników za pomocą nagłówka HTTP UserName.
- CVE-2016-6602Krytyczne
Framework ZOHO WebNMS w wersjach 5.2 i 5.2 SP1 wykorzystuje słaby algorytm obfuskacji do przechowywania haseł, co umożliwia atakującym uzyskanie haseł w postaci niezaszyfrowanej poprzez dostęp do pliku WEB-INF/conf/securitydbData.xml.
Oryginalny opis (angielski, źródło NVD)
Directory traversal vulnerability in the file upload functionality in ZOHO WebNMS Framework 5.2 and 5.2 SP1 allows remote attackers to upload and execute arbitrary JSP files via a .. (dot dot) in the fileName parameter to servlets/FileUploadServlet.