Две уязвимости - в серверном инструменте ServerView и в коммутаторе BX300 Fujitsu Siemens - обнаружили исследователи группы RedTeam Pentesting. Как сообщает Heise-Security.co.uk, инструмент управления ServerView содержит уязвимость к удалённому выполнению команд в CGI-сценарии DBAsciiAccess. Сценарий представляет собой реализацию команды ping. Ошибка скрывается в обработке параметра - IP-адреса, передаваемого в адресной строке браузера. Произвольную команду можно дописать к IP-адресу через «;». Команда будет выполнена с привилегиями веб-сервера. Уязвимость была устранена в версии 4.50.09 для Linux. Ещё одна уязвимость - к раскрытию информации - обнаружена в коммутаторе Fujitsu Siemens BX300 Switch Blade. Веб-интерфейс устройства может отображать информацию о настройках даже в случае неудачной аутентификации. Компания осведомлена об уязвимости, но решила её не устранять.
CNews