安全研究

安全漏洞
Software602 602Pro LAN SUITE 2003目录遍历漏洞

发布日期:2003-09-25
更新日期:2003-10-08

受影响系统:
Software602 602Pro LAN SUITE 2003
描述:
BUGTRAQ  ID: 8701

602Pro LAN SUITE简单安装集中管理的服务应用程序。

602Pro LAN SUITE WebMail程序对用户提交的参数缺少充分过滤,远程攻击者可以利用这个漏洞以WEB权限在系统上查看任意文件内容。

如果攻击者拥有LanSuite WebMail用户名和密码,M602cl3w.exe虽然过滤了大多数的'../'数据,但是对"GetFile"操作的用户提交参数缺少正确处理,恶意攻击者可以提交包含多个'../'字符的数据以WEB进程权限在系统上查看任意文件内容。

<*来源:Phuong Nguyen (dphuong@yahoo.com
  
  链接:http://marc.theaimsgroup.com/?l=bugtraq&m=106450342209231&w=2
*>

测试方法:

警 告

以下程序(方法)可能带有攻击性,仅供安全研究与教学之用。使用者风险自负!

Phuong Nguyen (dphuong@yahoo.com)提供了如下测试方法:

http://www.victim.com/mail/m602cl3w.exe?A=GetFile&U=7921604D7A587937986E24242C0588&DL=0&FN=../../../boot.ini

建议:
厂商补丁:

Software602
-----------
目前厂商已经发布了升级补丁以修复这个安全问题,请到厂商的主页下载:

http://download3.software602.com/ls2003.exe

浏览次数:2844
严重程度:0(网友投票)
本安全漏洞由绿盟科技翻译整理,版权所有,未经许可,不得转载
绿盟科技给您安全的保障