Zoho ManageEngine OpManager「OPM_BVNAME」複数の脆弱性

high Nessus プラグイン ID 81379

Language:

概要

リモートホストは、複数の脆弱性の影響を受ける Web アプリケーションを実行しています。

説明

リモートホストは、複数の脆弱性の影響を受ける Zoho ManageEngine OpManager のバージョンを実行しています。

- APMBVHandler サーブレットの「OPM_BVNAME」パラメーターに対するユーザー入力の不適切なサニタイズによる、ブラインド SQL インジェクションの脆弱性が存在します。認証されていないリモートの攻撃者がこれを悪用して、アプリケーションのデータベースを変更したり、管理権限を取得したりする可能性があります。（CVE-2014-7868/ CVE-2016-82014）

- APMBVHandler サーブレットの「OPM_BVNAME」パラメーターに対するユーザー入力の不適切な検証による、折り返し型クロスサイトスクリプティング（XSS）の脆弱性が存在します。コンテキスト依存の攻撃者はこれを悪用して、特別に細工されたリクエストを介して、ユーザーのブラウザセッションで任意のスクリプトコードを実行する可能性があります。
(CVE-2016-82015)

注意：他の　SQL インジェクションの脆弱性が存在しますが、Nessus はその脆弱性をテストしていません。