バージョン 10 ビルド 10250 より前の ManageEngine NetFlow Analyzer は、以下のディレクトリトラバーサルの脆弱性の影響を受けます：

- CVSServlet または CReportPDFServlet の「schFilePath」パラメータのユーザー入力が適切にサニタイズされていません。リモートの攻撃者が、特別に細工されたリクエストを使用して、これを利用し制限されたパスの外側にあるファイルにアクセスできるおそれがあります。(CVE-2014-5445)

- DisplayChartPDF サーブレットの「filename」パラメータへのユーザー入力が適切にサニタイズされていません。リモートの攻撃者が、特別に細工されたリクエストを使用して、これを利用し制限されたパスの外側にあるファイルにアクセスできるおそれがあります。(CVE-2014-5446)

検出

ManageEngine NetFlow Analyzer の複数のパストラバーサルおよびファイルアクセス

medium Nessus プラグイン ID 81821

バージョン 1.10