Bitdefender GravityZone 5.1.5.386 Web Console id 路径遍历漏洞
CVE编号
CVE-2014-5350利用情况
暂无补丁情况
N/A披露时间
2014-08-20漏洞描述
Bitdefender GravityZone是一款用于企业控制和保护的安全解决方案。 Bitdefender GravityZone存在验证绕过和未授权访问漏洞： 1，未验证用户可以"nginx"用户上下文读取系统任意文件内容。 2，不安全的MongoDB数据库可通过默认的内置账户访问。 3，部分Web UI脚本访问无需验证，允许未验证攻击者无需验证执行管理操作，如/webservice/CORE/downloadSignedCsr。解决建议
目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：http://www.bitdefender.com受影响软件情况
| # | 类型 | 厂商 | 产品 | 版本 | 影响面 | ||||
| 1 | |||||||||
|---|---|---|---|---|---|---|---|---|---|
| 运行在以下环境 | |||||||||
| 应用 | bitdefender | gravityzone | * | Up to (including) 5.1.5.386 | |||||
- 攻击路径 网络
- 攻击复杂度 低
- 权限要求 无
- 影响范围 N/A
- 用户交互 无
- 可用性 无
- 保密性 部分地
- 完整性 无
| CWE-ID | 漏洞类型 |
| CWE-22 | 对路径名的限制不恰当（路径遍历） |
Exp相关链接
- avd.aliyun.com
版权声明
本站原创文章转载请注明文章出处及链接，谢谢合作！
评论