CVE-2016-6602
KrytyczneStreszczenie
Framework ZOHO WebNMS w wersjach 5.2 i 5.2 SP1 wykorzystuje słaby algorytm obfuskacji do przechowywania haseł, co umożliwia atakującym uzyskanie haseł w postaci niezaszyfrowanej poprzez dostęp do pliku WEB-INF/conf/securitydbData.xml.
Ocena ryzyka
Atakujący mogą uzyskać dostęp do haseł użytkowników, co stwarza poważne zagrożenie dla bezpieczeństwa systemu i danych organizacji.
Rekomendacja
Zaleca się aktualizację do nowszej wersji frameworka, która poprawia mechanizmy obfuskacji haseł oraz zabezpieczenie dostępu do pliku konfiguracyjnego.
Inne podatności w ZOHO WebNMS Framework 5.2 and 5.2 SP1
Zobacz wszystkie- CVE-2016-6603Krytyczne
Framework ZOHO WebNMS w wersji 5.2 i 5.2 SP1 umożliwia zdalnym atakującym ominięcie uwierzytelniania i podszywanie się pod dowolnych użytkowników za pomocą nagłówka HTTP UserName.
- CVE-2016-6600Krytyczne
Podatność typu directory traversal w funkcjonalności przesyłania plików w ZOHO WebNMS Framework 5.2 i 5.2 SP1 pozwala zdalnym atakującym na przesyłanie i wykonywanie dowolnych plików JSP poprzez wykorzystanie parametru fileName z sekwencją .. (kropka kropka).
Oryginalny opis (angielski, źródło NVD)
ZOHO WebNMS Framework 5.2 and 5.2 SP1 use a weak obfuscation algorithm to store passwords, which allows context-dependent attackers to obtain cleartext passwords by leveraging access to WEB-INF/conf/securitydbData.xml. NOTE: this issue can be combined with CVE-2016-6601 for a remote exploit.