Novell ZENworks Asset Management rtrlet コンポーネントの GetFile_Password メソッドのハードコードされた認証情報の漏洩
high Nessus プラグイン ID 62704
Language:
概要
リモートホストに、任意の情報漏洩の脆弱性があります。説明
リモートホストに、任意の情報漏洩の脆弱性の影響を受けるバージョンの Novell ZENworks Asset Management があります。「/rtrlet/rtr」の「GetFile_Password」メンテナンス呼び出しは、既知のハードコードされた認証情報のセットによって保護されます。このメンテナンス呼び出しを攻撃者が利用して、特別に細工された POST リクエストを介して、リモートホストで SYSTEM 権限によってアクセスできる任意のファイルを漏洩させる可能性があります。Nessus はそれを実行しようと試みませんでしたが、関連するメンテナンス呼び出し「GetConfigInfo_Password」も、このバージョンの Novell ZENworks Asset Management のハードコードされた認証情報のセットによって保護されます。リモートの攻撃者が、Novell ZENworks Configuration Management 構成パラメーターを表示する可能性があります。
ソリューション
現時点で既知の解決策はありません。回避策として、この Web アプリケーションへのアクセスを制限してください。プラグインの詳細
深刻度: High
ID: 62704
ファイル名: novell_zenworks_asset_management_arbitrary_information_disclosure.nasl
バージョン: 1.9
タイプ: remote
ファミリー: CGI abuses
公開日: 2012/10/25
更新日: 2021/1/19
サポートされているセンサー: Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 5.0
CVSS v2
リスクファクター: High
基本値: 7.8
現状値: 7.4
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:C/I:N/A:N
脆弱性情報
CPE: cpe:/a:novell:zenworks_asset_management
必要な KB アイテム: www/novell_zenworks_asset_management
除外される KB アイテム: Settings/disable_cgi_scanning
エクスプロイトが利用可能: true
エクスプロイトの容易さ: Exploits are available
Nessus によりエクスプロイト済み: true
脆弱性公開日: 2012/10/15
参照情報
CVE: CVE-2012-4933
BID: 55933
CERT: 332412