Раскрытие конфигурации Microsoft URLScan при совместном использовании с RSA's SecurID

Дата публикации:
18.08.2003
Всего просмотров:
817
Опасность:
Наличие исправления:
Количество уязвимостей:
1
CVSSv2 рейтинг:
CVE ID:
Нет данных
Вектор эксплуатации:
Воздействие:
CWE ID:
Нет данных
Наличие эксплоита:
Нет данных
Уязвимые продукты:
Описание: Уязвимость раскрытия информации обнаружена в RSA's SecurID, когда используется Microsoft URLScan. Удаленный пользователь может определить подробности URLScan конфигурации на Web сервере.

Если используется SecurID с URLScan, то в некоторых случаях отклоненная информация будет возвращена удаленному пользователю. Удаленный пользователь может выполнить различные HTTP запросы и контролируя ответы, определить конфигурацию URLScan.

Когда удаленный пользователь запрашивает URL, который будет отвергнут URLScan, Web сервер возвратит следующую информацию (например):

<INPUT TYPE=HIDDEN NAME="referrer" VALUE="Z2FZ3CRejected-By-UrlScanZ3EZ3FZ7EZ2Firm.ida">
Уязвимость обнаружена в RSA SecurID ACE/Agent 5.0

Для устранения уязвимости, в качестве приоритетного ISAPI фильтра установите SecurID фильтр.

Ссылки: IRM 006: The configuration of Microsoft URLScan can be enumerated when implemented in conjunction with RSA SecurID
http://www.irmplc.com/advisory/URLScan_enum.tar.gz

или введите имя

CAPTCHA