Symantec LiveUpdate Administrator < 2.3.2.110 多個弱點 (SYM14-005)
high Nessus Plugin ID 73275
語系：
概要
遠端主機上的 Web 應用程式受到多個弱點影響。說明
遠端 Web 伺服器上主控的 Symantec LiveUpdate Administrator 2.x 版本比 2.3.2.110 (2.3.2.1) 舊。因此受到以下弱點影響：- 存在一個忘記密碼功能的瑕疵，此瑕疵可以強制重設經授權使用者帳戶的密碼。這可能允許知道帳戶電子郵件的遠端攻擊者重設密碼，而且可能取得系統管理員 Web 介面的完整存取權。(CVE-2014-1644)
- 在應用程式中存在多個 SQL 插入瑕疵，包括密碼復原功能。這可能允許遠端攻擊者插入或操控 SQL 查詢，進而導致操控或洩漏任意資料。
(CVE-2014-1645)
請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。
解決方案
升級至 LiveUpdate Administrator 2.3.2.110 或更新版本。另請參閱
http://www.nessus.org/u?fd44e0ba
Plugin 詳細資訊
嚴重性: High
ID: 73275
檔案名稱: symantec_lua_2_3_2_110.nasl
版本: 1.9
類型: remote
系列: CGI abuses
已發布: 2014/3/31
已更新: 2021/1/19
支援的感應器: Nessus
風險資訊
VPR
風險因素: Medium
分數: 5.8
CVSS v2
風險因素: High
基本分數: 7.5
時間分數: 5.5
媒介: CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:P
CVSS 評分資料來源: CVE-2014-1645
弱點資訊
CPE: cpe:/a:symantec:liveupdate_administrator
必要的 KB 項目: www/symantec_lua
排除在外的 KB 項目: Settings/disable_cgi_scanning
可輕鬆利用: No exploit is required
修補程式發佈日期: 2014/3/27
弱點發布日期: 2014/3/27
參考資訊
CVE: CVE-2014-1644, CVE-2014-1645
IAVB: 2014-B-0034