标题: HTTP File Server多个漏洞 [打印本页]

---

作者: pioneer     时间: 2008-1-29 09:12    标题: HTTP File Server多个漏洞

来源

secunia.com

软件名

HTTP File Server 2.x

描述

1)应用程序没有正确地将特定的输入写入日志，这可导致例如欺骗用户名或在登录时向日志文件中注入任意内容

2)特定的输入在返回到用户前没有被准确过滤，这可在用户浏览器浏览受影响的网页时执行任意HTML和脚本代码。

3)这可能通过发送包含模板符号的特定请求导致泄漏特定信息（例如链接数量，传送速度，通信统计，或正常运行时间）

4)应用程序在创建日志文件时没有正确处理用户名，这可导致创建目录、附加数据到文件或通过发送特定请求到受影响的服务器导致缓冲溢出
溢出成功后可执行任意代码，但是需要模板符号"%user%"被用来定义日志文件的名称

解决方案

一些漏洞在V2.2c中已经修复.
http://www.rejetto.com/hfs/?f=dl

---

欢迎光临 微点交流论坛 (http://bbs.micropoint.com.cn/)

bbs.micropoint.com.cn