PowerProtect: Appliance DM5500 – Sicherheitsscan erkennt "CGI Generic SQL Injection (blind)" auf Port 443

Summary: PowerProtect Data Manager Appliance [DM5500]: Der Sicherheitslückenscanner erkennt "CGI Generic SQL Injection (blind)" auf Port 443 als falsch positives Ergebnis.

This article applies to This article does not apply to This article is not tied to any specific product. Not all product versions are identified in this article.
Check out other resources

Symptoms

Der Scanner für Sicherheitslücken (erkennt auf DM5500 Folgendes:

Plug-in-ID Risiko Host Schnittstelle Name Zusammenfassung Beschreibung Plug-in-Ausgabe
42424 (EXTERNER LINK) High Appliance TCP/443-KARTON CGI Generische SQL-Einschleusung (blind) Eine CGI-Anwendung, die auf dem Remotewebserver gehostet wird, ist potenziell anfällig für SQL-Injection-Angriffe.

Die Scansoftware kann unterschiedliche Rückgaben erhalten, indem sie speziell gestaltete Parameter an das auf dem Webserver gehostete CGI-Skript sendet. Dies deutet darauf hin, dass das Verhalten der Anwendung geändert und direkt auf die zugrunde liegende Datenbank zugegriffen werden könnte.

 

Dies könnte es einem Angreifer ermöglichen, die Authentifizierung zu umgehen, auf vertrauliche Daten zuzugreifen, die Datenbank zu modifizieren oder sogar die Kontrolle über das Remote-Betriebssystem zu erlangen.

 Mit der Methode "GET HTTP" hat der Scanner Folgendes festgestellt:

+ Die folgenden Ressourcen können anfällig für blinde SQL-Injektion sein:

+ Der Parameter "clientId" von /iam-token-handler/public/authorize CGI:
/iam-token-handler/public/authorize?clientId=common-gui-service'||'common-gui-service


-------- Ausgabe --------
HTTP/1.1 302
-------- im Vergleich zu --------
HTTP/1.1 400
------------------------

Cause

Da /iam-token-handler/public/authorize mit 302 und 400 auf verschiedene Anforderungen antworten kann, geht der Sicherheitslückenscanner davon aus, dass das Risiko einer SQL-Injection-Sicherheitslücke besteht.

Resolution

Das Dell Engineering-Team hat bestätigt, dass es sich um ein falsch positives Ergebnis handelt. 

Der Token-Handler interagiert nicht mit den Datenbanken. 

Affected Products

PowerProtect Data Manager Appliance, PowerProtect DM5500
Article Properties
Article Number: 000236546
Article Type: Solution
Last Modified: 17 Oct 2024
Version:  1
Find answers to your questions from other Dell users
Support Services
Check if your device is covered by Support Services.