JVNDB-2016-001004
|
Ipswitch WhatsUp Gold の XML オブジェクトのデシリアライズ処理に脆弱性
|
|
Ipswitch, Inc が提供する WhatsUp Gold は、SOAP リクエスト経由で受信した XML オブジェクトのデシリアライズの際、データを適切に検証しません。
信頼できないデータのデシリアライズ (CWE-502) - CVE-2015-8261
WhatsUp Gold には、SOAP リクエストハンドラ DroneDeleteOldMeasurements が存在します。SOAP リクエストを介することで、シリアライズした XML オブジェクトに含まれたユーザ指定のデータがサニタイジングやエスケープ処理が行われないまま直接 SQL 文に含まれるため、結果として攻撃者が SQL インジェクションを実行することが可能となります。
CWE-502: Deserialization of Untrusted Data
http://cwe.mitre.org/data/definitions/502.html
|
|
CVSS v2 による深刻度
基本値: 7.5 (危険) [NVD値]
- 攻撃元区分: ネットワーク
- 攻撃条件の複雑さ: 低
- 攻撃前の認証要否: 不要
- 機密性への影響(C): 部分的
- 完全性への影響(I): 部分的
- 可用性への影響(A): 部分的
|
|
|
Ipswitch, Inc.
- WhatsUp Gold version 16.3
|
|
|
遠隔の攻撃者によって、データベース上で SQL 文を実行される可能性があります。
|
|
[アップデートする]
Ipswitch, Inc が提供する情報をもとに、最新版へアップデートしてください。
Ipswitch, Inc はこれらの脆弱性を修正した WhatsUp Gold 16.4 をリリースしています。
|
|
Ipswitch, Inc.
|
|
- SQLインジェクション(CWE-89) [NVD評価]
- その他(CWE-Other) [IPA評価]
|
|
- CVE-2015-8261
|
|
- JVN : JVNVU#90674343
- National Vulnerability Database (NVD) : CVE-2015-8261
- US-CERT Vulnerability Note : VU#753264
|
|
|
