CVE-2016-6603
KrytyczneStreszczenie
Framework ZOHO WebNMS w wersji 5.2 i 5.2 SP1 umożliwia zdalnym atakującym ominięcie uwierzytelniania i podszywanie się pod dowolnych użytkowników za pomocą nagłówka HTTP UserName.
Ocena ryzyka
Atakujący mogą uzyskać dostęp do systemu jako inny użytkownik, co może prowadzić do nieautoryzowanego dostępu do danych i funkcji.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji frameworka ZOHO WebNMS oraz wdrożenie dodatkowych mechanizmów zabezpieczeń w celu ochrony przed tego typu atakami.
Inne podatności w ZOHO WebNMS Framework 5.2 and 5.2 SP1
Zobacz wszystkie- CVE-2016-6602Krytyczne
Framework ZOHO WebNMS w wersjach 5.2 i 5.2 SP1 wykorzystuje słaby algorytm obfuskacji do przechowywania haseł, co umożliwia atakującym uzyskanie haseł w postaci niezaszyfrowanej poprzez dostęp do pliku WEB-INF/conf/securitydbData.xml.
- CVE-2016-6600Krytyczne
Podatność typu directory traversal w funkcjonalności przesyłania plików w ZOHO WebNMS Framework 5.2 i 5.2 SP1 pozwala zdalnym atakującym na przesyłanie i wykonywanie dowolnych plików JSP poprzez wykorzystanie parametru fileName z sekwencją .. (kropka kropka).
Oryginalny opis (angielski, źródło NVD)
ZOHO WebNMS Framework 5.2 and 5.2 SP1 allows remote attackers to bypass authentication and impersonate arbitrary users via the UserName HTTP header.