1.5.6 より前の Open Web Analytics の複数の脆弱性

high Nessus プラグイン ID 74189

Language:

概要

リモート Web サーバーに、複数の脆弱性の影響を受ける Web アプリケーションがあります。

説明

バナーによると、リモートホストにインストールされている Open Web Analytics のバージョンは 1.5.6 より前です。したがって、次の脆弱性の影響を受けます：

- ログインページにクロスサイトスクリプティングの欠陥が存在し、「owa_user_id」パラメーターへの入力が適切にサニタイズされません。これにより、リモートの攻撃者は特別に細工されたリクエストを使用し、ブラウザ/サーバーの信頼関係内で任意のコードを実行する可能性があります。
（CVE-2014-1456）

- 複数のクロスサイトスクリプティングの欠陥が General Configuration Options ページに存在し、複数のパラメーターが適切にサニタイズされません。これにより、リモートの攻撃者は特別に細工されたリクエストを使用し、ブラウザ/サーバーの信頼関係内で任意のコードを実行する可能性があります。（OSVDB：103341）

- クロスサイトリクエスト偽造がクロスサイトリクエスト偽造防止スキームに存在し、nonce の値が十分にランダムではありません。これにより、コンテキスト依存の攻撃者が、特別に細工されたリンクにより、ユーザーを騙して、攻撃者が機密性の高いアクションへアクセスできるようにする可能性があります。（CVE-2014-1457）

Nessus はこれらの問題に対してテストされていませんが、その代わりにアプリケーションの自己報告されたバージョン番号のみに依存していることに、注意してください。