VICIDIAL Call Center Suite admin.phpのSQLインジェクション
medium Nessus プラグイン ID 38889
Language:
概要
リモート Web サーバーに、SQL インジェクション攻撃を受けやすい PHP スクリプトが含まれています。説明
リモートホストは、完全なコールセンタースイートとして機能するAsterisk用のプログラムのセットであるVICIDIAL Call Center Suiteを実行しています。リモートホストにインストールされているこのソフトウェアのバージョンは、データベースクエリの構築に使用される前に、「PHP_AUTH_USER」変数と「PHP_AUTH_PW」変数に対するユーザー指定の入力のサニタイズに失敗します。VICIDIALが非ラテン文字の使用をサポートするように構成されている（デフォルトでtrueではない）場合は、認証されていない攻撃者が、この問題を悪用して、データベースクエリを操作し、たとえば、認証をバイパスして、管理アクセス権を取得する可能性があります。
ソリューション
パッチsecurity_fix_admin_20090522.patchを適用するか、VICIDIALでの非ラテン文字の使用を無効にしてください。参考資料
プラグインの詳細
深刻度: Medium
ID: 38889
ファイル名: vicidial_admin_sql_injection.nasl
バージョン: 1.16
タイプ: remote
ファミリー: CGI abuses
公開日: 2009/5/26
更新日: 2021/1/19
サポートされているセンサー: Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 6.6
CVSS v2
リスクファクター: Medium
基本値: 6.8
現状値: 5.9
ベクトル: CVSS2#AV:N/AC:M/Au:N/C:P/I:P/A:P
脆弱性情報
CPE: cpe:/a:vicidial:call_center_suite
必要な KB アイテム: www/PHP
除外される KB アイテム: Settings/disable_cgi_scanning
エクスプロイトの容易さ: No exploit is required
Nessus によりエクスプロイト済み: true
参照情報
CVE: CVE-2009-2234
BID: 35056