ADA ImgSvr Template参数远程目录遍历漏洞

[ 来源:http://www.91now.com/down/ | 作者: | 时间:2007-12-28 | 浏览: 人次 ]

受影响系统:
ADA ImgSvr 0.6.5
ADA ImgSvr 0.6.21
描述:
BUGTRAQ  ID:
24853

Ada Image Server是一个嵌入式WEB服务器,主要用于对图片发布进行优化处理。

Ada Image Server的实现上存在输入验证漏洞,远程攻击者可能利用此漏洞进行目录遍历攻击。

Ada Image Server没有正确地验证对template参数的输入,允许远程攻击者提交恶意请求执行目录遍历攻击,导致从受影响系统下载任意文件。

<*来源:Luigi Auriemma (
aluigi@pivx.com
  
  链接:
http://secunia.com/advisories/28234/
        http://aluigi.altervista.org/adv/imgsvr-adv.txt
*>

测试方法:

警 告

以下程序(方法)可能带有攻击性,仅供安全研究与教学之用。使用者风险自负!

GET /?template=../../../../../../../../../../etc/passwd HTTP/1.0

建议:
厂商补丁:

ADA
---
目前厂商还没有提供补丁或者升级程序,我们建议使用此软件的用户随时关注厂商的主页以获取最新版本:

http://adaimgsvr.sourceforge.net/