安全与更新

2013年10月第四周热点漏洞分析

2013-11-02

1.  RSA Authentication Agent For Web For IIS存在安全措施绕过漏洞


RSA SecurID Authentication Agents for Web for Internet Information Services(IIS)是美国易安信(EMC)公司在Unix及Linux平台上使用的可插入式身份验证模块,它可以对运行在IIS Web服务器上的Web应用实现双重身份验证。该模块集成了多种身份验证技术,如Kerberos、RSA、智能卡和DCE等。


RSA Security Authentication Agent For Web For IIS 7.1和7.1.1版本中存在安全措施绕过漏洞。攻击者利用代理代码内的fail open漏洞可以以管理员账户对其进行访问,即便输入的密码错误,认证系统也会给予访问权限,从而让攻击者可以控制企业的Web应用,盗取应用中的业务信息,造成商业泄密。


漏洞级别:严重

漏洞标识:

BUGTRAQ ID: 63303
CVE ID: CVE-2013-3280

影响系统:

RSA Security Authentication Agent For Web For IIS 7.1和7.1.1版本


2.  Red Hat JBoss Operations Network存在不安全的临时目录创建漏洞


红帽(Red Hat)旗下的JBoss Operations Network (JON) 是一款基于JavaEE的免费开源软件,它向企业用户提供了用于开发和部署电子商务应用的高性能平台,如制造业产品数据库管理系统、财务软件、政务软件等等。


JON3.1.2版本中的JPADriftServerBean类的storeFiles方法,允许用户以不安全的方式创建临时目录。拥有本地访问权限的攻击者可以利用这个漏洞,在用于解压缩的临时目录下写入恶意的drift文件,并加载到任意应用服务器端,扰乱服务器之间的时钟同步,造成定时备份无法实施。当然,这主要会影响到一些使用定时功能的应用系统。


漏洞级别:

漏洞标识:

BUGTRAQ ID: 63253

CVE: CVE-2013-4373

影响系统:Red Hat JBoss Operations Network 3.1.2版本


3.  Dell Quest One Password Manager 存在权限许可和访问控制漏洞


Dell Quest One Password Manager是美国戴尔(Dell)公司的一套企业级密码管理解决方案。该软件允许终端用户重置遗忘的密码及解锁账户,并支持实施安全的数据访问策略。


Dell Quest One Password Manager 5.0版本存在权限许可和访问控制漏洞。远程攻击者利用此漏洞,发送带有有效域名和管理员信息的登录请求,可以绕过验证码(CAPTCHA)保护机制,获得公司内部邮箱的管理员权限,窃取所有通信邮件,造成企业信息泄露。


漏洞级别:中等

漏洞标识:

BUGTRAQ ID: 63259

CVE: CVE-2013-6246

影响系统:Dell Quest One PasswordManager 5.0版本


4.  Cisco ASA存在VPN身份验证拒绝服务漏洞


Cisco Adaptive Security Appliances (ASA,自适应安全设备)是美国思科(Cisco)公司的企业级防火墙设备。该设备提供IPS(入侵防御系统)、SSL VPN、IPSecVPN、反垃圾邮件等功能。


Cisco ASA软件中的VPN身份验证功能存在安全漏洞。当防火墙配置使用username-from-cert命令时,远程攻击者可利用该漏洞,发送大量的因特网秘钥交换请求(IKE)造成设备不断重启,导致企业业务瘫痪,员工无法通过VPN进行正常办公。


漏洞级别:中等

漏洞标识:

BUGTRAQ ID:  63262

CVE:       CVE-2013-5544

影响系统: Adaptive Security Appliance (ASA) Software    

 


友情提示:目前漏洞均已修复,请到厂商官网进行下载。

获得支持

国内技术服务电话:

400-630-6430

  • 未开通400电话的区域请拨打:

    0731-88726847

  • 邮件技术支持:

    support@sangfor.com.cn

  • 服务质量监督电话:

    0755-86336190