影响版本: Symantec IM Manager 8.4.15 Symantec IM Manager 8.4.13 Symantec IM Manager 8.4.5 Symantec IM Manager 8.4 Symantec IM Manager 8.3
漏洞 描述: Symantec IM Manager为企业IM网络提供认证支持，对企业即时信息通信进行无缝管理，并实行安全保障、日志和存档。 Symantec IM Manager存在多个输入验证问题，远程攻击者可以利用漏洞进行SQL注入攻击，获得敏感信息或操作 数据库 。 -IM Manager中的管理接口存在缺陷。安装的IIS扩展主页面需要验证，不过许多页面可以直接访问，IMAdminScheduleReport.asp 脚本没有充分过滤email参数可导致SQL注入攻击。IMAdminReportTrendFormRun.asp对groupList参数，rdpageimlogic.aspx脚本对selclause, whereTrendTimeClause, TrendTypeForReport, whereProtocolClause和groupClause参数缺少过滤，可导致SQL注入攻击。 -rdpageimlogic.aspx和rdPage.aspx页面存在缺陷，通过设置rdReport参数给LoggedInUsers值，攻击者可强制服务器装载LoggedInUSers.lgx定义文件，此文件在loginTimeStamp, dbo, dateDiffParam和whereClause参数下存在多个SQL注入攻击。 -rdpageimlogic.aspx页面存在缺陷，通过设置rdReport参数给SummaryReportGroup值，攻击者可强制服务器装载SummaryReportGroup.lgx定义文件，此文件在selclause, whereTrendTimeClause, TrendTypeForReport, whereProtocolClause和groupClause参数下存在多个SQL注入攻击。 - rdPageImlogic.aspx页面存在缺陷，通过设置rdReport参数给DetailReportGroup值，攻击者可强制服务器装载DetailReportGroup.lgx定义文件，此文件多个参数存在多个SQL注入攻击。 -IM Manager接口默认监听TCP 80端口，当解析请求时rdpageimlogic.aspx没有校验rdReport变量，它解析此变量指向文件的SQL语句。远程攻击者可以利用此行为注入任意SQL到后端数据库。<*参考 http://HdhCmsTestzerodayinitiative测试数据/advisories/ZDI-10-220/ http://HdhCmsTestzerodayinitiative测试数据/advisories/ZDI-10-221/ http://HdhCmsTestzerodayinitiative测试数据/advisories/ZDI-10-222/ http://HdhCmsTestzerodayinitiative测试数据/advisories/ZDI-10-223/ http://HdhCmsTestzerodayinitiative测试数据/advisories/ZDI-10-224/ http://HdhCmsTestzerodayinitiative测试数据/advisories/ZDI-10-225/ http://HdhCmsTestzerodayinitiative测试数据/advisories/ZDI-10-226/ *> 修复：
用户可参考如下供应商提供的安全公告获得补丁信息： jsp ?fid=security_advisory&pvid=security_advisory&year=2010&suid=20101027_01">http://HdhCmsTestsymantec测试数据/business/security_response/securityupdates/detail.jsp?fid=security_advisory&pvid=security_advisory&year=2010&suid=20101027_01
查看更多关于Symantec IM Manager多个SQL注入漏洞及修复 - 网站安全的详细内容...