安全研究

安全漏洞
Hyperic HQ跨站脚本和脚本注入漏洞

发布日期:2009-10-06
更新日期:2009-10-12

受影响系统:
SpringSource Hyperic HQ 4.2-beta1
SpringSource Hyperic HQ 4.1
SpringSource Hyperic HQ 4.0
SpringSource Hyperic HQ 3.2
描述:
CVE(CAN) ID: CVE-2009-2897,CVE-2009-2898

Hyperic HQ是一个开源的IT资源管理平台。

Hyperic HQ没有正确地验证提交给mastheadAttach.do的typeId参数、Resource.do的eid参数以及admin/user/UserAdmin.do的u参数便返回给了用户,这可能导致反射式跨站脚本攻击;此外由于没有正确地过滤传送给Description参数的输入便在警告列表中返回给了用户,这可能导致存储式跨站脚本攻击。

<*来源:Eric Searcy
  
  链接:http://secunia.com/advisories/36935/
        http://marc.info/?l=bugtraq&m=125475819403773&w=2
        http://marc.info/?l=bugtraq&m=125475878904815&w=2
*>

建议:
厂商补丁:

SpringSource
------------
目前厂商已经发布了升级补丁以修复这个安全问题,请到厂商的主页下载:

http://www.springsource.com/security/hyperic-hq

浏览次数:2229
严重程度:0(网友投票)
本安全漏洞由绿盟科技翻译整理,版权所有,未经许可,不得转载
绿盟科技给您安全的保障