Trend Micro Control Manager download.php 檔案洩漏
high Nessus Plugin ID 97224
語系：
概要
遠端主機上執行的一個應用程式受到檔案洩漏弱點影響。說明
遠端主機上執行的 Trend Micro Control Manager 版本受到一個檔案洩漏弱點影響，這是因為無法正確清理使用者對 download.php 指令碼提供的輸入所致。未經驗證的遠端攻擊者可加以惡意利用，透過部署目錄遊走的特製要求來洩漏任意檔案。請注意，據報該應用程式受到其他弱點影響，但 Nessus 尚未針對這些弱點進行測試。
解決方案
供應商公告表示 Control Manager 6.0 版 Build 3444 已修正此問題，但似乎早期的 6.0 版 Build 3400 (Service Pack 3，修補程式 2) 也已修正此問題。請聯繫供應商以確認首個已修正版本。另請注意，該應用程式的某些較舊版本並沒有 download.php 指令碼，因此不受影響。
另請參閱
https://success.trendmicro.com/solution/1116624
Plugin 詳細資訊
嚴重性: High
ID: 97224
檔案名稱: trendmicro_control_manager_download_php_file_disclosure.nasl
版本: 1.5
類型: remote
系列: CGI abuses
已發布: 2017/2/17
已更新: 2018/11/15
支援的感應器: Nessus
風險資訊
CVSS v2
風險因素: High
基本分數: 7.8
時間分數: 5.8
媒介: CVSS2#AV:N/AC:L/Au:N/C:C/I:N/A:N
CVSS v3
風險因素: High
基本分數: 7.5
時間分數: 6.5
媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
時間媒介: CVSS:3.0/E:U/RL:O/RC:C
弱點資訊
CPE: cpe:/a:trend_micro:control_manager
必要的 KB 項目: installed_sw/Trend Micro Control Manager
由 Nessus 利用: true
修補程式發佈日期: 2017/2/7
弱點發布日期: 2017/2/7
參考資訊
ZDI: ZDI-17-061, ZDI-17-062