发布日期：2004-09-28
更新日期：2004-09-30

受影响系统：

ParaChat ParaChat Server 5.5

描述：

---

CVE(CAN) ID: CVE-2004-1568

ParaChat Server是一款基于WEB的方便管理的实时通信软件。

ParaChat Server 5.5不正确处理部分URI数据，远程攻击者可以利用这个漏洞以进程权限查看服务器上任意文件内容。

提交"..%5C/"的数据，程序会转换成"..\/"，这样可导致绕过WEB ROOT限制，以进程权限查看服务器上任意文件内容。

<*来源：Donato Ferrante （fdonato@autistici.org）
  
  链接：http://marc.theaimsgroup.com/?l=bugtraq&m=109647769526696&w=2
*>

测试方法：

---

警 告

以下程序(方法)可能带有攻击性，仅供安全研究与教学之用。使用者风险自负！

Donato Ferrante （fdonato@autistici.org）提供了如下测试方法：

http://[host]:7877/..%5C/..%5C/

建议：

---

厂商补丁：

ParaChat
--------
目前厂商还没有提供补丁或者升级程序，我们建议使用此软件的用户随时关注厂商的主页以获取最新版本：

http://www.parachat.com/

浏览次数：2584
严重程度：1（网友投票）