远程主机上安装的 ManageEngine OpManager 版本受到多种目录遍历漏洞的影响：

- FileCollector servlet 在上传文件时未能正确审查用户提供的“regionID”和“FILENAME”参数输入。这允许远程攻击者和经过认证的用户写入和执行任意 WAR 文件。
 （CVE-2014-6034、CVE-2014-6035）

- multipartRequest servlet 未能正确审查用户提供的“fileName”参数输入。这允许远程攻击者和经过认证的用户删除任意文件。(CVE-2014-6036)

请注意，Nessus 已测试两个目录遍历和文件上传漏洞，但未测试任意代码执行漏洞或文件删除漏洞。如果可以通过目录遍历攻击上传文件，则执行缺陷和删除缺陷也可能被利用。

检测

ManageEngine OpManager 的多个目录遍历漏洞

high Nessus 插件 ID 81378

版本 1.12