发布日期：2007-07-10
更新日期：2007-12-26

受影响系统：

ADA ImgSvr 0.6.5
ADA ImgSvr 0.6.21

描述：

---

BUGTRAQ  ID: 24853

Ada Image Server是一个嵌入式WEB服务器，主要用于对图片发布进行优化处理。

Ada Image Server的实现上存在输入验证漏洞，远程攻击者可能利用此漏洞进行目录遍历攻击。

Ada Image Server没有正确地验证对template参数的输入，允许远程攻击者提交恶意请求执行目录遍历攻击，导致从受影响系统下载任意文件。

<*来源：Luigi Auriemma （aluigi@pivx.com）
  
  链接：http://secunia.com/advisories/28234/
        http://aluigi.altervista.org/adv/imgsvr-adv.txt
*>

测试方法：

---

警 告

以下程序(方法)可能带有攻击性，仅供安全研究与教学之用。使用者风险自负！

GET /?template=../../../../../../../../../../etc/passwd HTTP/1.0

建议：

---

厂商补丁：

ADA
---
目前厂商还没有提供补丁或者升级程序，我们建议使用此软件的用户随时关注厂商的主页以获取最新版本：

http://adaimgsvr.sourceforge.net/

浏览次数：2614
严重程度：0（网友投票）