CVE-2017-11388
WysokieStreszczenie
W Trend Micro Control Manager 6.0 występuje podatność na atak typu SQL Injection, która może prowadzić do zdalnego wykonania kodu. Problem wynika z niewłaściwej walidacji ciągów dostarczanych przez użytkownika przed konstruowaniem zapytań SQL w pliku RestfulServiceUtility.NET.dll.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do wykonania dowolnego kodu na serwerze, co może prowadzić do poważnych naruszeń bezpieczeństwa i utraty danych.
Rekomendacja
Zaleca się aktualizację Trend Micro Control Manager do najnowszej wersji, aby usunąć tę podatność oraz wdrożenie dodatkowych mechanizmów zabezpieczających przed atakami SQL Injection.
Inne podatności w Trend Micro Control Manager 6.0
Zobacz wszystkie- CVE-2017-11390Wysokie
W podatności CVE-2017-11390 występuje luka w przetwarzaniu zewnętrznych jednostek XML (XXE) w Trend Micro Control Manager 6.0, która może prowadzić do ujawnienia informacji, jeśli zostanie wykorzystana.
- CVE-2017-11387Wysokie
Podatność CVE-2017-11387 w Trend Micro Control Manager 6.0 umożliwia obejście uwierzytelniania, co prowadzi do ujawnienia informacji. Problem występuje, gdy walidacja uwierzytelnienia nie jest przeprowadzana dla funkcji zmieniającej poziom logowania debugowania.
- CVE-2017-11389Krytyczne
Podatność na przejście do katalogu w Trend Micro Control Manager 6.0 umożliwia zdalne wykonanie kodu przez atakujących, którzy mogą umieszczać dowolne pliki w katalogu dostępnym przez sieć.
- CVE-2017-11386Krytyczne
W Trend Micro Control Manager 6.0 występuje podatność na atak typu SQL Injection, która może prowadzić do zdalnego wykonania kodu. Problem wynika z braku odpowiedniej walidacji danych wejściowych w pliku cmdHandlerNewReportScheduler.dll.
- CVE-2017-11385Krytyczne
W Trend Micro Control Manager 6.0 występuje podatność na atak typu SQL Injection, która może prowadzić do zdalnego wykonania kodu. Problem wynika z braku odpowiedniej walidacji danych wejściowych w pliku cmdHandlerStatusMonitor.dll.
- CVE-2017-11384Krytyczne
W Trend Micro Control Manager 6.0 występuje podatność na atak typu SQL Injection, która może prowadzić do zdalnego wykonania kodu. Problem wynika z braku odpowiedniej walidacji danych wejściowych w pliku mdHandlerLicenseManager.dll.
- CVE-2017-11383Krytyczne
W Trend Micro Control Manager 6.0 występuje podatność na SQL Injection, która może prowadzić do zdalnego wykonania kodu. Problem wynika z braku odpowiedniej walidacji danych wejściowych w pliku cmdHandlerTVCSCommander.dll.
Oryginalny opis (angielski, źródło NVD)
SQL Injection in Trend Micro Control Manager 6.0 causes Remote Code Execution when RestfulServiceUtility.NET.dll doesn't properly validate user provided strings before constructing SQL queries. Formerly ZDI-CAN-4639 and ZDI-CAN-4638.