DevExpress ASP.NET File Manager目录遍历漏洞

CVE编号

CVE-2014-2575

利用情况

暂无

补丁情况

N/A

披露时间

2014-06-07

漏洞描述

DevExpress是一家全球知名的控件开发公司。 DevExpress ASPxFileManager文件管理组件存在目录遍历漏洞，允许攻击者利用漏洞提交请求访问相同分区中的任意文件内容。

解决建议

目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：https://www.devexpress.com

参考链接
http://osvdb.org/show/osvdb/107742
http://packetstormsecurity.com/files/126953/DevExpress-ASP.NET-File-Manager-1...
http://seclists.org/fulldisclosure/2014/Jun/24
http://security.devexpress.com/de7c4756/?id=ff8c1703126f4717993ac3608a65a2e2
http://www.exploit-db.com/exploits/33700
http://www.securityfocus.com/archive/1/532304/100/0/threaded
http://www.securityfocus.com/bid/67902
https://www.redteam-pentesting.de/en/advisories/rt-sa-2014-006/-directory-tra...

受影响软件情况

#	类型	厂商	产品	版本	影响面
1
	运行在以下环境
	应用	devexpress	aspxfilemanager_control_for_webforms_and_mvc	*		Up to (including) 13.1.9
	运行在以下环境
	应用	devexpress	aspxfilemanager_control_for_webforms_and_mvc	10.2	-
	运行在以下环境
	应用	devexpress	aspxfilemanager_control_for_webforms_and_mvc	10.2.10	-
	运行在以下环境
	应用	devexpress	aspxfilemanager_control_for_webforms_and_mvc	10.2.11	-
	运行在以下环境
	应用	devexpress	aspxfilemanager_control_for_webforms_and_mvc	10.2.3	-
	运行在以下环境
	应用	devexpress	aspxfilemanager_control_for_webforms_and_mvc	10.2.4	-
	运行在以下环境
	应用	devexpress	aspxfilemanager_control_for_webforms_and_mvc	10.2.5	-
	运行在以下环境
	应用	devexpress	aspxfilemanager_control_for_webforms_and_mvc	10.2.6	-
	运行在以下环境
	应用	devexpress	aspxfilemanager_control_for_webforms_and_mvc	10.2.8	-
	运行在以下环境
	应用	devexpress	aspxfilemanager_control_for_webforms_and_mvc	10.2.9	-
	运行在以下环境
	应用	devexpress	aspxfilemanager_control_for_webforms_and_mvc	11.1	-
	运行在以下环境
	应用	devexpress	aspxfilemanager_control_for_webforms_and_mvc	11.1.10	-
	运行在以下环境
	应用	devexpress	aspxfilemanager_control_for_webforms_and_mvc	11.1.11	-
	运行在以下环境
	应用	devexpress	aspxfilemanager_control_for_webforms_and_mvc	11.1.12	-
	运行在以下环境
	应用	devexpress	aspxfilemanager_control_for_webforms_and_mvc	11.1.4	-
	运行在以下环境
	应用	devexpress	aspxfilemanager_control_for_webforms_and_mvc	11.1.5	-
	运行在以下环境
	应用	devexpress	aspxfilemanager_control_for_webforms_and_mvc	11.1.6	-
	运行在以下环境
	应用	devexpress	aspxfilemanager_control_for_webforms_and_mvc	11.1.7	-
	运行在以下环境
	应用	devexpress	aspxfilemanager_control_for_webforms_and_mvc	11.1.8	-
	运行在以下环境
	应用	devexpress	aspxfilemanager_control_for_webforms_and_mvc	11.1.9	-
	运行在以下环境
	应用	devexpress	aspxfilemanager_control_for_webforms_and_mvc	11.2	-
	运行在以下环境
	应用	devexpress	aspxfilemanager_control_for_webforms_and_mvc	11.2.10	-
	运行在以下环境
	应用	devexpress	aspxfilemanager_control_for_webforms_and_mvc	11.2.11	-
	运行在以下环境
	应用	devexpress	aspxfilemanager_control_for_webforms_and_mvc	11.2.12	-
	运行在以下环境
	应用	devexpress	aspxfilemanager_control_for_webforms_and_mvc	11.2.13	-
	运行在以下环境
	应用	devexpress	aspxfilemanager_control_for_webforms_and_mvc	11.2.14	-
	运行在以下环境
	应用	devexpress	aspxfilemanager_control_for_webforms_and_mvc	11.2.5	-
	运行在以下环境
	应用	devexpress	aspxfilemanager_control_for_webforms_and_mvc	11.2.7	-
	运行在以下环境
	应用	devexpress	aspxfilemanager_control_for_webforms_and_mvc	11.2.8	-
	运行在以下环境
	应用	devexpress	aspxfilemanager_control_for_webforms_and_mvc	12.1	-
	运行在以下环境
	应用	devexpress	aspxfilemanager_control_for_webforms_and_mvc	12.1.10	-
	运行在以下环境
应用	devexpress	aspxfilemanager_control_for_webforms_and_mvc	12.1.11	-
运行在以下环境
应用	devexpress	aspxfilemanager_control_for_webforms_and_mvc	12.1.12	-
运行在以下环境
应用	devexpress	aspxfilemanager_control_for_webforms_and_mvc	12.1.4	-
运行在以下环境
应用	devexpress	aspxfilemanager_control_for_webforms_and_mvc	12.1.5	-
运行在以下环境
应用	devexpress	aspxfilemanager_control_for_webforms_and_mvc	12.1.6	-
运行在以下环境
应用	devexpress	aspxfilemanager_control_for_webforms_and_mvc	12.1.7	-
运行在以下环境
应用	devexpress	aspxfilemanager_control_for_webforms_and_mvc	12.1.8	-
运行在以下环境
应用	devexpress	aspxfilemanager_control_for_webforms_and_mvc	12.1.9	-
运行在以下环境
应用	devexpress	aspxfilemanager_control_for_webforms_and_mvc	12.2	-
运行在以下环境
应用	devexpress	aspxfilemanager_control_for_webforms_and_mvc	12.2.10	-
运行在以下环境
应用	devexpress	aspxfilemanager_control_for_webforms_and_mvc	12.2.11	-
运行在以下环境
应用	devexpress	aspxfilemanager_control_for_webforms_and_mvc	12.2.12	-
运行在以下环境
应用	devexpress	aspxfilemanager_control_for_webforms_and_mvc	12.2.13	-
运行在以下环境
应用	devexpress	aspxfilemanager_control_for_webforms_and_mvc	12.2.15	-
运行在以下环境
应用	devexpress	aspxfilemanager_control_for_webforms_and_mvc	12.2.16	-
运行在以下环境
应用	devexpress	aspxfilemanager_control_for_webforms_and_mvc	12.2.4	-
运行在以下环境
应用	devexpress	aspxfilemanager_control_for_webforms_and_mvc	12.2.5	-
运行在以下环境
应用	devexpress	aspxfilemanager_control_for_webforms_and_mvc	12.2.6	-
运行在以下环境
应用	devexpress	aspxfilemanager_control_for_webforms_and_mvc	12.2.7	-
运行在以下环境
应用	devexpress	aspxfilemanager_control_for_webforms_and_mvc	12.2.8	-
运行在以下环境
应用	devexpress	aspxfilemanager_control_for_webforms_and_mvc	13.1	-
运行在以下环境
应用	devexpress	aspxfilemanager_control_for_webforms_and_mvc	13.1.4	-
运行在以下环境
应用	devexpress	aspxfilemanager_control_for_webforms_and_mvc	13.1.5	-
运行在以下环境
应用	devexpress	aspxfilemanager_control_for_webforms_and_mvc	13.1.6	-
运行在以下环境
应用	devexpress	aspxfilemanager_control_for_webforms_and_mvc	13.1.7	-
运行在以下环境
应用	devexpress	aspxfilemanager_control_for_webforms_and_mvc	13.1.8	-
运行在以下环境
应用	devexpress	aspxfilemanager_control_for_webforms_and_mvc	13.2	-
运行在以下环境
应用	devexpress	aspxfilemanager_control_for_webforms_and_mvc	13.2.5	-
运行在以下环境
应用	devexpress	aspxfilemanager_control_for_webforms_and_mvc	13.2.6	-
运行在以下环境
应用	devexpress	aspxfilemanager_control_for_webforms_and_mvc	13.2.7	-
运行在以下环境
应用	devexpress	aspxfilemanager_control_for_webforms_and_mvc	13.2.8	-

CVSS3评分 6.5

• 攻击路径 网络
• 攻击复杂度 低
• 权限要求 一次
• 影响范围 N/A
• 用户交互 无
• 可用性 部分地
• 保密性 部分地
• 完整性 部分地

AV:N/AC:L/Au:S/C:P/I:P/A:P

CWE-ID	漏洞类型
CWE-22	对路径名的限制不恰当（路径遍历）

Exp相关链接

• https://www.exploit-db.com/exploits/33700

- avd.aliyun.com