安全研究

安全漏洞
NetMeeting远程目录遍历漏洞

发布日期:2003-07-02
更新日期:2003-07-04

受影响系统:
Microsoft NetMeeting 3.01 (4.4.3385)
描述:
BUGTRAQ  ID: 7931
CVE(CAN) ID: CVE-2003-0505

Windows NetMeeting是流行的可以在多人之间进行视频会议的程序。

Windows NetMeeting的文件传输功能存在目录遍历问题,远程攻击者可以利用这个漏洞把文件存放到目标系统的任意位置。

当文件传输过程中,攻击者如果使用的文件名包含"..\..\",由于NetMeeting没有任何过滤处理,可导致绕过NetMeeting原来的目录限制存储在其他文件系统中。虽然在文件传输结束后会出现对话框,会提醒用户,但是用户却没有被提示拒绝或者接收文件传输。攻击者可以把恶意程序存放到系统自启动目录来执行。

<*来源:CORE Security Technologies Advisories (advisories@coresecurity.com
  
  链接:http://marc.theaimsgroup.com/?l=bugtraq&m=105716650021546&w=2
*>

建议:
厂商补丁:

Microsoft
---------
目前厂商已经发布了升级补丁以修复这个安全问题,请到厂商的主页下载:

Windows 2000 Service Pack 4
  http://www.microsoft.com/Windows2000/downloads/servicepacks/sp4/

Windows XP (Professional and Home edition) Service Pack 1
  http://www.microsoft.com/WindowsXP/pro/downloads/servicepacks/sp1/

浏览次数:3233
严重程度:1(网友投票)
本安全漏洞由绿盟科技翻译整理,版权所有,未经许可,不得转载
绿盟科技给您安全的保障