发布日期：1999-06-01
更新日期：1999-06-01

受影响系统：

Cdomain CdomainFree 2.4
Cdomain CdomainFree 2.3
Cdomain CdomainFree 2.2
Cdomain CdomainFree 2.1
Cdomain CdomainFree 2.0
Cdomain CdomainFree 1.0
Cdomain CdomainPro

不受影响系统：

Cdomain CdomainFree 2.5
Cdomain CdomainPro 4.0

描述：

---

BUGTRAQ  ID: 304
CVE(CAN) ID: CVE-1999-1063

CdomainFree是一个商业的CGI软件包，用于提供基于Web的Whois查询服务。

CdomainFree 2.5免费版以前版本实现上存在一个输入验证漏洞，远程攻击者可能利用此漏洞以Web服务进程的权限在主机上执行任意命令。

漏洞存在于whois_raw.cgi脚本，它对用户输入未做充分过滤，远程攻击者可能在输入里插入某些shell转义字符比如“|”来执行任意命令。此漏洞影响whois_raw.cgi v1.x和cdomain.pl2.0到2.4版本的程序。新版软件不受影响，因它们直接连接到Whois服务器。


<*来源：Salvatore Sanfilippo （md5330@mclink.it）
  
  链接：http://www.opennet.ru/base/cgi/13.txt.html
        http://www.iss.net/security_center/static/2251.php
*>

建议：

---

厂商补丁：

Cdomain
-------
目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：

http://www.cdomain.com/

浏览次数：9490
严重程度：0（网友投票）