Marvell QConvergeConsole (QCC) FlashValidatorServiceImpl decryptFile 路徑遊走 RCE

critical Nessus Plugin ID 140188

語系：

概要

遠端 Web 應用程式受到一個遠端程式碼執行弱點影響。

說明

遠端主機上執行的 Marvell QConvergeConsole GUI 受到 FlashValidator Web 應用程式之 FlashValidatorServiceImpl 類別的 decryptFile 方法中的一個路徑遊走弱點影響。未經驗證的遠端攻擊者可利用此弱點，透過特別建構的訊息在主機上以 SYSTEM 或 root 權限執行任意程式碼。

請注意，據報該產品也受到其他弱點影響，但是此外掛程式尚未針對這些問題進行測試。

解決方案

將 QConvergeConsole GUI 升級至 5.5.0.73 或更新版本。

另請參閱

http://www.nessus.org/u?0975c4e9

Plugin 詳細資訊

嚴重性: Critical

ID: 140188

檔案名稱: marvell_qcc_cve-2020-15639.nasl

版本: 1.2

類型: remote

系列: CGI abuses

已發布: 2020/9/2

已更新: 2020/9/3

支援的感應器: Nessus

風險資訊

VPR

風險因素: Medium

分數: 5.9

CVSS v2

風險因素: Critical

基本分數: 10

時間分數: 7.4

媒介: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C

CVSS 評分資料來源: CVE-2020-15639

CVSS v3

風險因素: Critical

基本分數: 9.8

時間分數: 8.5

媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

時間媒介: CVSS:3.0/E:U/RL:O/RC:C

弱點資訊

CPE: x-cpe:/a:marvell:qconvergeconsole

必要的 KB 項目: installed_sw/QLogic QConvergeConsole

可輕鬆利用: No known exploits are available

修補程式發佈日期: 2020/8/10

弱點發布日期: 2020/8/10

參考資訊

CVE: CVE-2020-15639

ZDI: ZDI-20-967