ManageEngine Applications Manager DowntimeSchedulerServlet“TASKID”伪装 SQLi

critical Nessus 插件 ID 84241

语言：

简介

远程 Web 应用程序受到 SQL 盲注漏洞的影响。

描述

由于未正确验证用户在“DowntimeSchedulerServlet”servlet 的“TASKID”参数中提供的输入，远程主机运行的 ManageEngine Applications Manager 的版本受到 SQL 盲注漏洞的影响。远程攻击者可利用此缺陷执行任意 SQL 语句。

请注意，某些第三方资源会指示存在针对此漏洞的修补程序。不过，Tenable Research 已在最新可用的软件版本中成功利用此漏洞。

解决方案

目前没有安装有修补程序的版本。

另见

https://www.zerodayinitiative.com/advisories/ZDI-15-229/

插件详情

严重性: Critical

ID: 84241

文件名: manageengine_applications_manager_downtimescheduler_sqli.nasl

版本: 1.5

类型: remote

系列: CGI abuses

发布时间: 2015/6/17

最近更新时间: 2021/1/19

支持的传感器: Nessus

风险信息

CVSS v2

风险因素: Critical

基本分数: 10

时间分数: 8.7

矢量: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C

漏洞信息

CPE: cpe:/a:manageengine:applications_manager

必需的 KB 项: installed_sw/ManageEngine Applications Manager

易利用性: No known exploits are available

漏洞发布日期: 2015/5/15

参考资料信息

BID: 74692