Выполнение произвольных команд в TWiki

Дата публикации:
16.11.2004
Дата изменения:
08.12.2008
Всего просмотров:
1535
Опасность:
Высокая
Наличие исправления:
Да
Количество уязвимостей:
1
CVSSv2 рейтинг:
CVE ID:
Нет данных
Вектор эксплуатации:
Удаленная
Воздействие:
Компрометация системы
CWE ID:
Нет данных
Наличие эксплоита:
Нет данных
Уязвимые продукты:
Twiki
Уязвимые версии: TWiki 20040901 и более ранние версии

Описание:
Уязвимость обнаружена в TWiki. Удаленный атакующий может выполнить произвольные команды на уязвимой системе.

Уязвимость существует в функции поиска из-за некорректной фильтрации данных перед выполнением консольных команд, основанных на критериях поиска. Удаленный атакующий может с помощью специально сформированного поискового запроса выполнить произвольные команды на уязвимой системе. Пример:

doesnotexist1'; (uname -a; id) | sed 's/\(.*\)/__BEGIN__\1__END__.txt/'; fgrep
-i -l -- 'doesnotexist2

URL производителя: twiki.org

Решение: Установите исправление с сайта производителя.

http://twiki.org/cgi-bin/view/Codev/SecurityAlertExecuteCommandsWithSearch

Ссылки: TWiki Input Validation Hole in Search Function Lets Remote Users Execute Shell Commands

или введите имя

CAPTCHA
Не задан ID пользователя.

16-10-2007 12:58:10
rss новости
0 |