CVE-2017-6526
KrytyczneStreszczenie
W dnaTools dnaLIMS 4-2015s13 odkryto problem związany z nieautoryzowanym wykonaniem poleceń przez źle zabezpieczony interfejs administracyjny (cgi-bin/dna/sysAdmin.cgi w żądaniach POST).
Ocena ryzyka
Organizacja może być narażona na nieautoryzowany dostęp do systemu, co może prowadzić do poważnych naruszeń bezpieczeństwa.
Rekomendacja
Zaleca się zabezpieczenie interfejsu administracyjnego oraz wdrożenie odpowiednich mechanizmów autoryzacji dla wszystkich żądań do cgi-bin/dna/sysAdmin.cgi.
Inne podatności w dnaTools dnaLIMS 4-2015s13
Zobacz wszystkie- CVE-2017-6529Wysokie
W dnaTools dnaLIMS w wersji 4-2015s13 odkryto problem związany z przejęciem sesji poprzez odgadnięcie parametru UID.
- CVE-2017-6528Wysokie
W dnaTools dnaLIMS 4-2015s13 odkryto problem związany z przechowywaniem haseł w postaci niezaszyfrowanej. Plik /home/dna/spool/.pfile zawiera hasła w formie tekstu jawnego.
- CVE-2017-6527Wysokie
W dnaTools dnaLIMS 4-2015s13 odkryto podatność na atak typu directory traversal z wykorzystaniem NUL-terminacji, co pozwala nieautoryzowanemu atakującemu na dostęp do plików systemowych, które są czytelne przez użytkownika serwera WWW.
Oryginalny opis (angielski, źródło NVD)
An issue was discovered in dnaTools dnaLIMS 4-2015s13. dnaLIMS is vulnerable to unauthenticated command execution through an improperly protected administrative web shell (cgi-bin/dna/sysAdmin.cgi POST requests).