VMware vCenter Update Manager XSS

medium Nessus 插件 ID 47897

简介

远程 Web 服务器存在跨站脚本漏洞。

描述

远程主机上运行的 VMware vCenter Update Manager 版本存在跨站脚本漏洞。原因是 Jetty(底层 Web 服务器)中存在缺陷。Jetty 显示目录清单时,可将任意文本插入页面。

远程攻击者可通过欺骗用户发出恶意构建的请求利用此漏洞,导致执行任意脚本代码。

此版本的 Update Manager 还可能存在目录遍历漏洞,但 Nessus 没有检查此问题。

解决方案

安装 VMware 公告中提到的更新。

另见

http://jira.codehaus.org/browse/JETTY-1004

https://www.vmware.com/security/advisories/VMSA-2010-0012.html

http://www.nessus.org/u?a71f3067

插件详情

严重性: Medium

ID: 47897

文件名: vmware_vcenter_update_mgr_xss.nasl

版本: 1.12

类型: remote

发布时间: 2010/7/29

最近更新时间: 2021/1/19

支持的传感器: Nessus

风险信息

VPR

风险因素: Medium

分数: 4.6

CVSS v2

风险因素: Medium

基本分数: 4.3

时间分数: 3.7

矢量: CVSS2#AV:N/AC:M/Au:N/C:N/I:P/A:N

漏洞信息

CPE: cpe:/a:vmware:vcenter_update_manager, cpe:/a:mortbay:jetty

必需的 KB 项: www/jetty

排除的 KB 项: Settings/disable_cgi_scanning

易利用性: No exploit is required

补丁发布日期: 2010/7/19

漏洞发布日期: 2009/4/28

可利用的方式

Core Impact

参考资料信息

CVE: CVE-2009-1524

BID: 34800

CWE: 79

CERT: 402580

Secunia: 40577

VMSA: 2010-0012