Analog logfile脚本代码插入漏洞

漏洞信息详情

Analog logfile脚本代码插入漏洞

• CNNVD编号：CNNVD-200204-027
• 危害等级： 高危
  
  
• CVE编号：
  CVE-2002-0166
  
• 漏洞类型：
  
  
  输入验证
  
• 发布时间：
  
  2002-03-28
  
• 威胁类型：
  
  
  远程
  
• 更新时间：
  
  2005-05-02
  
• 厂        商：
  
  stephen_turner
• 漏洞来源：
  Yuji Takahashi

Analog是一款日志分析程序，支持在HTML中限制可打印格式化日志文件，运行在Unix和Linux系统下，也可以运行在Microsoft Windows系统下。
Analog在日志处理上缺少正确检查，可导致跨站脚本执行漏洞。
攻击者可以方便的插入任意字符串到任何WEB服务器日志文件中，如果这些日志文件中的字符串被analog解析，就会出现在HTML形式报告中，当这些字符串包含恶意功能的时候，其代码将会在第三方查看这些日志的时候在用户浏览器上执行，造成如基于Cookie认证的敏感信息泄露。

临时解决方法：
如果您不能立刻安装补丁或者升级，CNNVD建议您采取以下措施以降低威胁：

* 暂时没有合适的解决方法。
厂商补丁：
Debian
——
Debian已经为此发布了一个安全公告(DSA-125-1)以及相应补丁:

DSA-125-1：New analog packages fix cross-site scripting vulnerability

链接：http://www.debian.org/security/2002/dsa-125” target=”_blank”>
http://www.debian.org/security/2002/dsa-125

补丁下载：

Source archives:

http://security.debian.org/dists/stable/updates/main/source/analog_5.22-0potato1.dsc” target=”_blank”>
http://security.debian.org/dists/stable/updates/main/source/analog_5.22-0potato1.dsc

http://security.debian.org/dists/stable/updates/main/source/analog_5.22-0potato1.diff.gz” target=”_blank”>
http://security.debian.org/dists/stable/updates/main/source/analog_5.22-0potato1.diff.gz

http://security.debian.org/dists/stable/updates/main/source/analog_5.22.orig.tar.gz” target=”_blank”>
http://security.debian.org/dists/stable/updates/main/source/analog_5.22.orig.tar.gz

Alpha architecture:

http://security.debian.org/dists/stable/updates/main/binary-alpha/analog_5.22-0potato1_alpha.deb” target=”_blank”>
http://security.debian.org/dists/stable/updates/main/binary-alpha/analog_5.22-0potato1_alpha.deb

ARM architecture:

http://security.debian.org/dists/stable/updates/main/binary-arm/analog_5.22-0potato1_arm.deb” target=”_blank”>
http://security.debian.org/dists/stable/updates/main/binary-arm/analog_5.22-0potato1_arm.deb

Intel ia32 architecture:

http://security.debian.org/dists/stable/updates/main/binary-i386/analog_5.22-0potato1_i386.deb” target=”_blank”>
http://security.debian.org/dists/stable/updates/main/binary-i386/analog_5.22-0potato1_i386.deb

Motorola 680×0 architecture:

http://security.debian.org/dists/stable/updates/main/binary-m68k/analog_5.22-0potato1_m68k.deb” target=”_blank”>
http://security.debian.org/dists/stable/updates/main/binary-m68k/analog_5.22-0potato1_m68k.deb

PowerPC architecture:

http://security.debian.org/dists/stable/updates/main/binary-powerpc/analog_5.22-0potato1_powerpc.deb” target=”_blank”>
http://security.debian.org/dists/stable/updates/main/binary-powerpc/analog_5.22-0potato1_powerpc.deb

Sun Sparc architecture:

http://security.debian.org/dists/stable/updates/main/binary-sparc/analog_5.22-0potato1_sparc.deb” target=”_blank”>
http://security.debian.org/dists/stable/updates/main/binary-sparc/analog_5.22-0potato1_sparc.deb
Analog
——
Analog 5.22已经修复这个安全问题，请到厂商的主页下载：

Analog Upgrade Analog 5.22

http://www.analog.cx/download.html” target=”_blank”>
http://www.analog.cx/download.html

来源: DEBIAN
名称: DSA-125
链接:http://www.debian.org/security/2002/dsa-125

来源: BID
名称: 4389
链接:http://www.securityfocus.com/bid/4389

来源: REDHAT
名称: RHSA-2002:059
链接:http://www.redhat.com/support/errata/RHSA-2002-059.html

来源: OSVDB
名称: 2059
链接:http://www.osvdb.org/2059

来源: XF
名称: analog-logfile-css(8656)
链接:http://www.iss.net/security_center/static/8656.php

来源: FREEBSD
名称: FreeBSD-SN-02:02
链接:ftp://ftp.freebsd.org/pub/FreeBSD/CERT/advisories/FreeBSD-SN-02:02.asc