Межсайтовый скриптинг в RSA SecurID ACE Agent

Дата публикации:
23.06.2003
Всего просмотров:
937
Опасность:
Наличие исправления:
Количество уязвимостей:
1
CVSSv2 рейтинг:
CVE ID:
Нет данных
Вектор эксплуатации:
Воздействие:
CWE ID:
Нет данных
Наличие эксплоита:
Нет данных
Уязвимые продукты:
Описание: Уязвимость в проверке правильности ввода обнаружена в RSA SecurID ACE Agent. Удаленный пользователь может украсть секретную фразу SecurID удаленного пользователя.

Сообщается, что система переадресации RSA ACE/Agent должным образом не обрабатывает некоторые символы в пользовательских данных, перед формированием страницы, которая содержит пользовательские данные. Удаленный пользователь может сконструировать специально обработанный URL, содержащий произвольный HTML код, который будет выполнен в браузере пользователя, просматривающего эту ссылку, в контексте уязвимого ACE/Agent сайта. Код может использоваться для контроля секретной фразы SecurID или другой чувствительной информации. Пример:

GET /"><script>document.location="http://foo.foo"</script> HTTP/1.0
Уязвимость обнаружена в RSA SecurID ACE/Agent 5.0 for Windows, 5.x for Web

Для устранения уязвимости, установите обновленную версию программы, которую можно скачать отсюда:

RSA ACE/Agent 5.0 for Windows:

ftp://ftp.rsasecurity.com/support/Patches/Ace/Agent/5.0.1_Agent/Win_Agent501.zip

RSA ACE/Agent 5.1 for Web:

ftp://ftp.rsasecurity.com/support/Patches/Ace/Agent/5.1.1_Agent/WebAgent5.1.1.tar.gz


Ссылки: R7-0014: RSA SecurID ACE Agent Cross Site Scripting
или введите имя

CAPTCHA