Barracuda 垃圾郵件防火牆預設憑證
high Nessus Plugin ID 22130
語系：
概要
系統使用預設憑證來保護 Web 管理主控台。說明
在遠端裝置上偵測到的 Barracuda Spam Firewall 韌體版本包含「guest」使用者帳戶的硬式編碼密碼。此外，據報該裝置也包含「admin」帳戶的硬式編碼密碼，而且該裝置未正確篩選「/cgi-bin/preview_email.cgi」指令碼中「file」參數的使用者輸入內容，便使用它來讀取檔案。
未經驗證的攻擊者可藉由使用特製的字串，利用此瑕疵來讀取任意檔案，甚至在遠端主機上執行任意命令。Web 伺服器以使用者「nobody」身分執行時，可透過使用「sudo」來存取數個系統命令，進而取得 Root 權限。
請注意，Nessus 並未測試其他這些問題。
解決方案
升級至韌體 3.3.0.54 版或更新版本，據報這些版本已解決這些問題。另請參閱
Plugin 詳細資訊
嚴重性: High
ID: 22130
檔案名稱: barracuda_33054.nasl
版本: 1.32
類型: remote
系列: CGI abuses
已發布: 2006/8/2
已更新: 2022/4/11
組態: 啟用徹底檢查
支援的感應器: Nessus
風險資訊
VPR
風險因素: Medium
分數: 6.3
CVSS v2
風險因素: High
基本分數: 7.5
時間分數: 5.9
媒介: CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:P
弱點資訊
CPE: cpe:/h:barracuda_networks:barracuda_spam_firewall
必要的 KB 項目: www/barracuda_spamfw
排除在外的 KB 項目: global_settings/supplied_logins_only
可被惡意程式利用: true
可輕鬆利用: Exploits are available
由 Nessus 利用: true
弱點發布日期: 2006/8/1
參考資訊
CVE: CVE-2006-4000, CVE-2006-4001, CVE-2006-4081, CVE-2006-4082
BID: 19276
CERT: 199348