Symantec LiveUpdate Administrator < 2.3 CSRF（SYM11-005）

medium Nessus プラグイン ID 53209

Language:

概要

リモートホスト上の Web アプリケーションには、クロスサイトリクエスト偽造の脆弱性があります。

説明

リモートホストで実行されている LiveUpdate Administrator のバージョンは、2.3 より前です。このようなバージョンには、クロスサイトリクエスト偽造（CSRF）の脆弱性があります。ログイン試行に失敗すると、Web コンソールから記録され、表示可能になります。これらの失敗した試行からのユーザー名は、ログで表示される前にサニタイズされていません。これにより、クロスサイトリクエスト偽造攻撃が行われる可能性があります。

リモートの攻撃者が、悪意を持って細工したユーザー名によるログインを試行することで、これを悪用し、次回イベントログを管理者ユーザーが表示する際に、任意のスクリプト実行が引き起こされる可能性があります。