HP OpenView Network Node Manager の複数のスクリプトのホスト名パラメータによるリモートコマンドの実行

critical Nessus プラグイン ID 43155

Language:

概要

リモート Web サーバーに含まれている複数の CGI スクリプトにより、任意のコマンドを実行できます。

説明

リモートバージョンの HP OpenView Network Node Manager では、「setMon.ovpl」、「setNotMon.ovpl」、および「ifMgrp.ovpl」スクリプトで使用される「hostname」パラメータへのユーザー入力を、コマンドの実行に使用する前にサニタイズできません。承認されていないリモート攻撃者はこれらの欠陥を利用することで、リモートホストの影響を受けている Web サーバーのユーザー ID のコンテキスト内で、任意のコマンドを実行できることがあります。

インストールされているバージョンの HP OpenView Network Node Manager は複数の他の問題の影響を受ける可能性がありますが、Nessus ではこれらの問題はテストされていないことに、注意してください。