VMware View Connection Server和View Security Server tunnel-server组件目录穿越漏洞

发布日期：2012-12-13
更新日期：2012-12-17受影响系统：
VMWare View 5.x
VMWare View 4.x
描述：
--------------------------------------------------------------------------------
BUGTRAQ ID: 56942
CVE（CAN） ID: CVE-2012-5978VMware View是企业虚拟桌面管理软件。VMware View v4.6.2、5.1.2之前版本的tunnel-server组件未能确保每个请求的URL引用一个位于服务器Web root上合法类型的文件。未经过身份验证的远程攻击者可利用此漏洞检索受影响服务器root目录下的任意文件。通过提交经过URL编码的HTTP GET请求，即可遍历目标目录。<*来源：Digital Defense, Inc.

链接：http://seclists.org/bugtraq/2012/Dec/100？utm_source=twitterfeed&utm_medium=twitter
http://packetstormsecurity.org/files/cve/CVE-2012-5978
http://www.vmware.com/security/advisories/VMSA-2012-0017.html
*>建议：
--------------------------------------------------------------------------------
临时解决方法：* 禁用Security Server* 用ips或者防火墙阻止目录遍历尝试厂商补丁：VMWare
------
VMWare已经为此发布了一个安全公告（VMSA-2012-0017）以及相应补丁:VMSA-2012-0017：VMSA-2012-0017链接：http://www.vmware.com/security/advisories/VMSA-2012-0017.html补丁下载：http://downloads.vmware.com/d/info/desktop_downloads/vmware_view/4_6https://my.vmware.com/web/vmware/info/slug/desktop_end_user_computing/vmware_view/5_1UBB.threads不明细节安全绕过漏洞Android Kernel 2.6本地拒绝服务漏洞相关资讯 VMware安全漏洞目录穿越漏洞

多个VMware产品本地权限提升漏洞（（08/26/2013 13:40:05）
Huawei E585 pocket wifi 2设备目（12/15/2012 09:04:26）
VMware Workstation /Player弱权限（11/13/2012 07:46:35）

VMWare vCenter Server和vCenter （02/27/2013 08:26:22）
JsUpload "/tmp/uploader"目录穿越（12/04/2012 06:49:08）
VMware Workstation /Player DLL二（11/13/2012 07:45:58）

本文评论查看全部评论（0）

评论声明