CVE-2017-9812
WysokieStreszczenie
Parametr reportId metody akcji getReportStatus w interfejsie webowym Kaspersky Anti-Virus dla serwera plików Linux przed Maintenance Pack 2 Critical Fix 4 (wersja 8.0.4.312) może być wykorzystany do odczytu dowolnych plików z uprawnieniami klusera.
Ocena ryzyka
Wykorzystanie tej podatności może prowadzić do nieautoryzowanego dostępu do wrażliwych danych w systemie, co stwarza poważne zagrożenie dla bezpieczeństwa organizacji.
Rekomendacja
Zaleca się aktualizację oprogramowania do wersji 8.0.4.312 lub nowszej, aby usunąć tę podatność.
Inne podatności w Kaspersky Anti-Virus for Linux File Server
Zobacz wszystkie- CVE-2017-9810Wysokie
Brak tokenów Anti-CSRF w formularzach interfejsu webowego Kaspersky Anti-Virus dla serwera plików Linux przed Maintenance Pack 2 Critical Fix 4 (wersja 8.0.4.312) umożliwia atakującemu wysyłanie uwierzytelnionych żądań, gdy uwierzytelniony użytkownik przegląda domenę kontrolowaną przez atakującego.
- CVE-2017-9811Krytyczne
Użytkownik kluser może interagować z binarnym plikiem kav4fs-control w Kaspersky Anti-Virus dla serwerów plików Linux przed poprawką Maintenance Pack 2 Critical Fix 4 (wersja 8.0.4.312). Wykorzystując operacje odczytu i zapisu w kwarantannie, możliwe jest podniesienie uprawnień do poziomu roota.
Oryginalny opis (angielski, źródło NVD)
The reportId parameter of the getReportStatus action method can be abused in the web interface in Kaspersky Anti-Virus for Linux File Server before Maintenance Pack 2 Critical Fix 4 (version 8.0.4.312) to read arbitrary files with kluser privileges.