发布日期：2002-04-08
更新日期：2002-04-12

受影响系统：

描述：

---

BUGTRAQ  ID: 4451
CVE(CAN) ID: CVE-2002-0924

csNews Professional是一款基于WEB的新闻项目管理程序，运行在多种Unix和Linux系统下，也可运行在Microsoft Windows操作系统下。

csNews Professional对用户在URL的输入没有正确充分的过滤，可导致攻击者以Web进程的权限在目标系统上执行任意命令。

csNews Professional由于访问验证错误，任意用户可以在URL上提供PERL代码作为配置数据来写入到"setup.cgi"文件中，并在服务器上以Web进程的权限执行这些PERL代码。

注意用户提供的任何PERL代码必须转换为URL编码形式。


<**>

测试方法：

---

警 告

以下程序(方法)可能带有攻击性，仅供安全研究与教学之用。使用者风险自负！

Steve Gustin （stegus1@yahoo.com）提供了如下测试方法：

http://host/cgi-bin/csNews.cgi?command=savesetup&setup=PERL_CODE_HERE

建议：

---

临时解决方法：

如果您不能立刻安装补丁或者升级，NSFOCUS建议您采取以下措施以降低威胁：

* 除了修改程序严格过滤用户输入数据外，没有合适的临时解决方法。

浏览次数：3114
严重程度：0（网友投票）