Image Display System可判断目录是否存在漏洞
发布日期:2002-05-28
更新日期:2002-06-03
受影响系统:IDS IDS (Image Display System) 0.8.1
描述:
BUGTRAQ ID:
4870
CVE(CAN) ID:
CVE-2002-1837
IDS(Image Display System)是一款基于Web的图象册应用程序,由Perl编写,Ashley M. Kirchner维护。
IDS对用户提交的请求缺少正确的处理,可导致远程攻击者获得主机相关的路径信息。
攻击者可以提交包含'../'字符的目录和图象册名称的请求,就可以导致IDS返回包含目录是否存在的错误信息,攻击者可以通过此信息进一步对系统进行攻击。
问题存在于如下处理代码中:
idsShared.pm::getAlbumToDisplay()
=================================
if ($albumtodisplay ne '/' && !-e $ppath . "albums/$albumtodisplay") { # does this album exist?
bail ("Sorry, the album \"$albumtodisplay\" doesn't exist: $!");
}
if ($albumtodisplay =~ /\.\./) { # hax0r protection...
bail ("Sorry, invalid directory name: $!");
}
<*来源:isox (
isox@chainsawbeer.com)
链接:
http://archives.neohapsis.com/archives/bugtraq/2002-05/0246.html
*>
建议:
临时解决方法:
如果您不能立刻安装补丁或者升级,NSFOCUS建议您采取以下措施以降低威胁:
* 对Image Display System进行访问控制,只允许可信用户访问。
厂商补丁:
IDS
---
目前厂商还没有提供补丁或者升级程序,我们建议使用此软件的用户随时关注厂商的主页以获取最新版本:
http://ids.sourceforge.net/浏览次数:2817
严重程度:0(网友投票)