Symantec LiveUpdate Administrator < 2.3.2.110 多种漏洞 (SYM14-005)

high Nessus 插件 ID 73275

简介

远程主机上运行的 Web 应用程序受到多种漏洞的影响。

描述

远程 Web 服务器上托管的 Symantec LiveUpdate Administrator 2.x 版本低于 2.3.2.110 (2.3.2.1)。因此,它受到以下漏洞的影响:

- 忘记密码功能存在一个缺陷,可强行重置已授权用户帐户的密码。知道该帐户的电子邮件地址的远程攻击者可利用此漏洞重置密码,并可能获取管理员 Web 界面的完全访问权限。(CVE-2014-1644)

- 该应用程序(其中包含密码恢复功能)中存在多个 SQL 注入缺陷。这可允许远程攻击者注入或操纵 SQL 查询,导致操纵或泄露任意数据。
(CVE-2014-1645)

请注意,Nessus 并未测试这些问题,而是只依赖于应用程序自我报告的版本号。

解决方案

升级到 LiveUpdate Administrator 2.3.2.110 或更高版本。

另见

http://www.nessus.org/u?fd44e0ba

https://seclists.org/bugtraq/2014/Mar/171

http://www.nessus.org/u?2730de5a

插件详情

严重性: High

ID: 73275

文件名: symantec_lua_2_3_2_110.nasl

版本: 1.9

类型: remote

系列: CGI abuses

发布时间: 2014/3/31

最近更新时间: 2021/1/19

支持的传感器: Nessus

风险信息

VPR

风险因素: Medium

分数: 5.8

CVSS v2

风险因素: High

基本分数: 7.5

时间分数: 5.5

矢量: CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:P

CVSS 分数来源: CVE-2014-1645

漏洞信息

CPE: cpe:/a:symantec:liveupdate_administrator

必需的 KB 项: www/symantec_lua

排除的 KB 项: Settings/disable_cgi_scanning

易利用性: No exploit is required

补丁发布日期: 2014/3/27

漏洞发布日期: 2014/3/27

参考资料信息

CVE: CVE-2014-1644, CVE-2014-1645

BID: 66399, 66400

IAVB: 2014-B-0034