Множественные уязвимости в Zenoss Core

Дата публикации:
08.12.2014
Дата изменения:
08.12.2014
Всего просмотров:
973
Опасность:
Средняя
Наличие исправления:
Нет
Количество уязвимостей:
19
CVSSv2 рейтинг:
(AV:N/AC:H/Au:N/C:P/I:P/A:P/E:U/RL:U/RC:C) = Base:5.1/Temporal:4.3
(AV:N/AC:M/Au:N/C:N/I:P/A:N/E:U/RL:U/RC:C) = Base:4.3/Temporal:3.7
(AV:N/AC:L/Au:N/C:P/I:N/A:N/E:U/RL:U/RC:C) = Base:5/Temporal:4.3
(AV:N/AC:M/Au:N/C:N/I:P/A:N/E:U/RL:OF/RC:C) = Base:4.3/Temporal:3.2
(AV:N/AC:H/Au:N/C:P/I:P/A:P/E:U/RL:U/RC:C) = Base:5.1/Temporal:4.3
(AV:N/AC:L/Au:S/C:P/I:N/A:N/E:U/RL:U/RC:C) = Base:4/Temporal:3.4
(AV:N/AC:H/Au:N/C:P/I:P/A:P/E:U/RL:U/RC:C) = Base:5.1/Temporal:4.3
(AV:N/AC:M/Au:N/C:P/I:P/A:P/E:U/RL:OF/RC:C) = Base:6.8/Temporal:5
(AV:N/AC:H/Au:N/C:P/I:N/A:N/E:U/RL:U/RC:C) = Base:2.6/Temporal:2.2
(AV:N/AC:M/Au:S/C:P/I:N/A:N/E:U/RL:U/RC:C) = Base:3.5/Temporal:3
(AV:N/AC:M/Au:S/C:P/I:P/A:N/E:U/RL:U/RC:C) = Base:4.9/Temporal:4.2
(AV:N/AC:H/Au:N/C:P/I:N/A:N/E:U/RL:U/RC:C) = Base:2.6/Temporal:2.2
(AV:N/AC:M/Au:N/C:N/I:P/A:N/E:U/RL:U/RC:C) = Base:4.3/Temporal:3.7
(AV:N/AC:L/Au:S/C:N/I:N/A:P/E:U/RL:U/RC:C) = Base:4/Temporal:3.4
(AV:N/AC:H/Au:S/C:N/I:P/A:N/E:U/RL:U/RC:C) = Base:2.1/Temporal:1.8
(AV:L/AC:H/Au:S/C:P/I:N/A:N/E:U/RL:U/RC:C) = Base:1/Temporal:0.9
(AV:N/AC:H/Au:N/C:N/I:N/A:P/E:U/RL:U/RC:C) = Base:2.6/Temporal:2.2
(AV:N/AC:H/Au:N/C:N/I:N/A:P/E:U/RL:U/RC:C) = Base:2.6/Temporal:2.2
(AV:L/AC:L/Au:S/C:P/I:N/A:N/E:U/RL:U/RC:C) = Base:1.7/Temporal:1.4
CVE ID:
CVE-2014-6253
CVE-2014-6254
CVE-2014-9245
CVE-2014-6255
CVE-2014-6261
CVE-2014-6256
CVE-2014-9246
CVE-2014-9246
CVE-2014-9247
CVE-2014-9248
CVE-2014-6257
CVE-2014-9249
CVE-2014-9250
CVE-2014-6254
CVE-2014-6258
CVE-2014-6260
CVE-2014-9251
CVE-2014-6259
CVE-2014-6262
CVE-2014-9252
Вектор эксплуатации:
Удаленная
Воздействие:
Брут-форс атака
Межсайтовый скриптинг
Отказ в обслуживании
Раскрытие важных данных
Раскрытие системных данных
Внедрение в сессию пользователя
Неавторизованное изменение данных
Обход ограничений безопасности
Компрометация системы
CWE ID:
Нет данных
Наличие эксплоита:
Нет данных
Уязвимые продукты:
Zenoss Core 4.x
Уязвимые версии:
Zenoss Core 4.x

Описание:

Уязвимости позволяют удаленному пользователю скомпрометировать систему, осуществить DoS-атаку, межсайтовый скриптинг и межсайтовую подделку запросов, раскрыть важные данные, внедриться в сессию пользователя, обойти ограничения безопасности и осуществить брутфорс-атаку.

1) Уязвимость существует из-за недостаточной проверки подлинности HTTP запросов. Удаленный пользователь может с помощью специально сформированной ссылки осуществить CSRF нападение и выполнить произвольные действия от имени администратора.

2) Уязвимость существует из-за недостаточной проверки входящих данных. Удаленный пользователь может с помощью специально сформированной ссылки выполнить произвольный код сценария в браузере жертвы в контексте безопасности уязвимого сайта.

3) Уязвимость существует из-за ошибки в переименовании продукта. Удаленный пользователь может получить доступ к стэк-трейсу.

4) Уязвимость существует из-за недостаточной проверки входных данных. Удаленный пользователь может перенаправить жертву на вредоносный ресурс и произвести фишинг-атаку.

5) Уязвимость существует из-за недостаточной проверки входных данных. Удаленный пользователь может скомпрометировать систему в ходе атаки "человек посередине".

6) Уязвимость существует из-за неизвестной ошибки. Удаленный пользователь может получить доступ к произвольным файлам.

7) Уязвимость существует из-за отсутствия защиты от CSRF-атак. Удаленный пользователь может выполнить произвольный код на сервере Zenoss.

8) Уязвимость существует из-за того, что сессии не истекают. Удаленный пользователь может перехватить идентификатор сессии жертвы и выполнить произвольные действия на сервере Zenoss от ее имени.

9) Уязвимость существует из-за недостаточной проверки прав пользователей для доступа к личным данным пользователей. Удаленный авторизованный пользователь может просмотреть имена, почтовые адреса и привилегии в приложении.

10) Уязвимость существует из-за того, что приложения позволяют использовать слабые пароли. Удаленный пользователь может произвести брут-форс атаку.

11) Уязвимость существует из-за ошибки при обработке привилегий доступа к различным объектам внутри приложения. Удаленный пользователь может получить повышенные привилегии приложения.

12) Уязвимость существует из-за ошибки, которая позволяет получить доступ к некоторым системным данным в настройке по умолчанию.

13) Уязвимость существует из-за недостаточной обработки входных данных в методе helper. Удаленный пользователь может произвести XSS-нападение.

14) Уязвимость существует из-за ошибки при обработке регулярных выражений. Удаленный авторизованный пользователь может вызвать отказ обслуживания приложения.

15) Уязвимость существует из-за ошибки при обработке сессий. Удаленный пользователь может выполнить действия, требующие административных привилегий, без ввода пароля администратора.

16) Уязвимость существует из-за того, что Zenoss использует нестойкий алгоритм шифрования паролей. Локальный пользователь с доступом к базе данных может расшифровать пароли.

17) Уязвимость существует из-за ошибки в обработке XML Recursive Entity Expansion. Удаленный пользователь может вызвать отказ в обслуживании приложения.

18) Уязвимость существует из-за ошибки форматной строки RRDTool. Удаленный пользователь может вызвать отказ в обслуживании приложения.

19) Уязвимость существует из-за того, что приложение сохраняет пароль пользователя в открытом виде в сессионном файле на сервере. Локальный пользователь может просмотреть файлы сессий и получить доступ к логинам и паролям пользователей приложений.


URL производителя: http://www.zenoss.com/

Решение: Способа устранения уязвимостей не существует в настоящее время.

Ссылки: https://docs.google.com/spreadsheets/d/1dHAc4PxUbs-4Dxzm1wSCE0sMz5UCMY6SW3PlMHSyuuQ/edit#gid=0
http://www.kb.cert.org/vuls/id/449452