Advantech WebAccess openWidget 指令碼路徑遊走遠端檔案洩漏
high Nessus Plugin ID 88839
語系：
概要
遠端主機上有一個受到檔案洩漏弱點影響的 Web 應用程式。說明
遠端主機上執行的 Advantech WebAccess Web 伺服器受到 WebAccess Dashboard Viewer 中的一個檔案洩漏弱點影響，這是因為無法正確清理使用者對 openWidget 指令碼提供的輸入所導致。未經驗證的遠端攻擊者可惡意利用此弱點，透過路徑遊走讀取 WebAccess 伺服器上任意檔案的內容。請注意，據報此 Advantech WebAccess Web 伺服器也受到其他弱點影響，但 Nessus 尚未針對這些弱點進行測試。
解決方案
升級至 Advantech WebAccess 8.1-2015.12.30 或更新版本。另請參閱
Plugin 詳細資訊
嚴重性: High
ID: 88839
檔案名稱: scada_advantech_webaccess_cve-2016-0855.nbin
版本: 1.118
類型: remote
系列: SCADA
已發布: 2016/2/18
已更新: 2024/4/15
支援的感應器: Nessus
風險資訊
VPR
風險因素: Low
分數: 3.6
CVSS v2
風險因素: Medium
基本分數: 5
時間分數: 3.9
媒介: CVSS2#AV:N/AC:L/Au:N/C:P/I:N/A:N
CVSS 評分資料來源: CVE-2016-0855
CVSS v3
風險因素: High
基本分數: 7.5
時間分數: 6.7
媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
時間媒介: CVSS:3.0/E:P/RL:O/RC:C
弱點資訊
CPE: cpe:/a:advantech:webaccess
必要的 KB 項目: www/scada_advantech_webaccess
可被惡意程式利用: true
可輕鬆利用: Exploits are available
由 Nessus 利用: true
修補程式發佈日期: 2015/12/30
弱點發布日期: 2016/1/14
參考資訊
CVE: CVE-2016-0855
BID: 80745
ICSA: 16-014-01
ZDI: ZDI-16-126