HP Web JetAdmin setinfo.hts setinclude 参数遍历任意文件访问
low Nessus 插件 ID 12120
语言：
简介
远程主机正在运行一个受到多个漏洞影响的基于 Web 的应用程序。描述
远程 HP Web JetAdmin 受到多个漏洞的影响。当前运行的版本容易遭受通过 setinfo.hts 脚本进行的目录遍历攻击。远程攻击者可利用此缺陷访问主机上的任意文件。
解决方案
要为 HP Web Jet Admin 服务设置密码，请执行以下步骤：1. 在导航菜单中选择“常规设置”，然后展开树结构。
2. 展开“配置文件管理” 3. 选择“添加/删除配置文件” 4. 在“用户配置文件”页面中，如果尚未设置密码，则选择“注意：要启用安全功能，必须设置管理员密码。”链接。
5. 设置管理员密码。
强烈建议按 IP 地址限制访问：
1. 展开“常规设置”树。
2. 选择 HTTP (Web) 分支。
3. 在“允许 HP Web Jetadmin 访问”下，添加管理 IP 主机或范围。HP 还建议删除测试目录中包含的所有文件。在默认安装中，这将位于以下目录中：
C: \Program Files\HP Web Jetadmin\doc\plugins\hpjdwm\script\
请注意，HP 于 2004 年 9 月 13 日前后发布了 Web Jetadmin 版本 7.6。该版本及后续版本不受此问题的影响。
另见
插件详情
严重性: Low
ID: 12120
文件名: hp_jadm_vuln.nasl
版本: 1.25
类型: remote
系列: CGI abuses
发布时间: 2004/3/30
最近更新时间: 2022/4/11
配置: 启用全面检查
支持的传感器: Nessus
风险信息
VPR
风险因素: Medium
分数: 4.2
CVSS v2
风险因素: Low
基本分数: 2.1
时间分数: 2
矢量: CVSS2#AV:L/AC:L/Au:N/C:P/I:N/A:N
漏洞信息
CPE: cpe:/a:hp:web_jetadmin
可利用: true
易利用性: No exploit is required
补丁发布日期: 2004/9/13
漏洞发布日期: 2004/3/25
参考资料信息
CVE: CVE-2004-1857
BID: 9973