CVE-2017-9810
WysokieStreszczenie
Brak tokenów Anti-CSRF w formularzach interfejsu webowego Kaspersky Anti-Virus dla serwera plików Linux przed Maintenance Pack 2 Critical Fix 4 (wersja 8.0.4.312) umożliwia atakującemu wysyłanie uwierzytelnionych żądań, gdy uwierzytelniony użytkownik przegląda domenę kontrolowaną przez atakującego.
Ocena ryzyka
Organizacja jest narażona na ataki typu Cross-Site Request Forgery (CSRF), co może prowadzić do nieautoryzowanego dostępu do zasobów systemu przez atakującego.
Rekomendacja
Zaleca się aktualizację Kaspersky Anti-Virus do wersji 8.0.4.312 lub nowszej, aby wprowadzić odpowiednie zabezpieczenia przed atakami CSRF.
Inne podatności w Kaspersky Anti-Virus for Linux File Server
Zobacz wszystkie- CVE-2017-9812Wysokie
Parametr reportId metody akcji getReportStatus w interfejsie webowym Kaspersky Anti-Virus dla serwera plików Linux przed Maintenance Pack 2 Critical Fix 4 (wersja 8.0.4.312) może być wykorzystany do odczytu dowolnych plików z uprawnieniami klusera.
- CVE-2017-9811Krytyczne
Użytkownik kluser może interagować z binarnym plikiem kav4fs-control w Kaspersky Anti-Virus dla serwerów plików Linux przed poprawką Maintenance Pack 2 Critical Fix 4 (wersja 8.0.4.312). Wykorzystując operacje odczytu i zapisu w kwarantannie, możliwe jest podniesienie uprawnień do poziomu roota.
Oryginalny opis (angielski, źródło NVD)
There are no Anti-CSRF tokens in any forms on the web interface in Kaspersky Anti-Virus for Linux File Server before Maintenance Pack 2 Critical Fix 4 (version 8.0.4.312). This would allow an attacker to submit authenticated requests when an authenticated user browses an attacker-controlled domain.