Выполнение произвольных команд в Logwatch
| Дата публикации: | 26.02.2011 |
| Всего просмотров: | 1705 |
| Опасность: | Средняя |
| Наличие исправления: | Инстуркции по устранению |
| Количество уязвимостей: | 1 |
| CVSSv2 рейтинг: | 9.3 (AV:N/AC:M/Au:N/C:C/I:C/A:C/E:U/RL:W/RC:C) |
| CVE ID: | CVE-2011-1018 |
| Вектор эксплуатации: | Удаленная |
| Воздействие: | Компрометация системы |
| CWE ID: | Нет данных |
| Наличие эксплоита: | Нет данных |
| Уязвимые продукты: | Logwatch 7.x |
| Уязвимые версии: Logwatch 7.3.6, возможно другие версии.
Описание: Уязвимость существует из-за того, что приложение некорректно обрабатывает имена файлов журнала перед использованием их в функции system(). Удаленный пользователь может выполнить произвольные команды на системе. Для успешной эксплуатации уязвимости требуется, чтобы атакующий мог создать файлы журнала со специально сформированным именем (например, при попытке аутентификации на Samba сервере со специально сформированным именем). URL производителя: sourceforge.net/projects/logwatch/ Решение: Установите исправление из SVN репозитория производителя. |
|
| Ссылки: |
http://sourceforge.net/tracker/?func=detail&aid=3184223&group_id=312875&atid=1316824 http://logwatch.svn.sourceforge.net/viewvc/logwatch?view=revision&revision=26 |