Symantec LiveUpdate Administrator < 2.3.2.110 多种漏洞 (SYM14-005)
high Nessus 插件 ID 73275
语言：
简介
远程主机上运行的 Web 应用程序受到多种漏洞的影响。描述
远程 Web 服务器上托管的 Symantec LiveUpdate Administrator 2.x 版本低于 2.3.2.110 (2.3.2.1)。因此，它受到以下漏洞的影响：- 忘记密码功能存在一个缺陷，可强行重置已授权用户帐户的密码。知道该帐户的电子邮件地址的远程攻击者可利用此漏洞重置密码，并可能获取管理员 Web 界面的完全访问权限。(CVE-2014-1644)
- 该应用程序（其中包含密码恢复功能）中存在多个 SQL 注入缺陷。这可允许远程攻击者注入或操纵 SQL 查询，导致操纵或泄露任意数据。
(CVE-2014-1645)
请注意，Nessus 并未测试这些问题，而是只依赖于应用程序自我报告的版本号。
解决方案
升级到 LiveUpdate Administrator 2.3.2.110 或更高版本。另见
http://www.nessus.org/u?fd44e0ba
插件详情
严重性: High
ID: 73275
文件名: symantec_lua_2_3_2_110.nasl
版本: 1.9
类型: remote
系列: CGI abuses
发布时间: 2014/3/31
最近更新时间: 2021/1/19
支持的传感器: Nessus
风险信息
VPR
风险因素: Medium
分数: 5.8
CVSS v2
风险因素: High
基本分数: 7.5
时间分数: 5.5
矢量: CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:P
CVSS 分数来源: CVE-2014-1645
漏洞信息
CPE: cpe:/a:symantec:liveupdate_administrator
必需的 KB 项: www/symantec_lua
排除的 KB 项: Settings/disable_cgi_scanning
易利用性: No exploit is required
补丁发布日期: 2014/3/27
漏洞发布日期: 2014/3/27
参考资料信息
CVE: CVE-2014-1644, CVE-2014-1645
IAVB: 2014-B-0034