PowerProtect: Apparaat DM5500 - Beveiligingsscan detecteert CGI generieke SQL-injectie (blind)" op poort 443
Summary: PowerProtect Data Manager Appliance [DM5500]: De scanner voor beveiligingsproblemen detecteert "CGI Generic SQL Injection (blind)" op poort 443 als fout-positief.
This article applies to
This article does not apply to
This article is not tied to any specific product.
Not all product versions are identified in this article.
Symptoms
De scanner voor beveiligingslekken (detecteert het volgende op DM5500):
| Plug-in-ID | Risico | Gastheer | Poort | Naam | Samenvatting | Beschrijving | Plug-in-uitgang |
| 42424 (EXTERNE LINK) | Hoog | Toestel | TCP/443 | CGI generieke SQL-injectie (blind) | Een CGI-applicatie die op de externe webserver wordt gehost, is mogelijk gevoelig voor SQL-injectieaanvallen. | De scansoftware kan verschillende rendementen krijgen door speciaal vervaardigde parameters naar het CGI-script te sturen dat op de webserver wordt gehost. Dit suggereert dat het het gedrag van de applicatie kan wijzigen en rechtstreeks toegang kan krijgen tot de onderliggende database.
Hierdoor kan een aanvaller authenticatie omzeilen, toegang krijgen tot vertrouwelijke gegevens, de database wijzigen of zelfs controle krijgen over het externe besturingssysteem. |
Met de "GET HTTP"-methode ontdekte de scanner dat: + De volgende bronnen kunnen kwetsbaar zijn voor blinde SQL-injectie: + De parameter 'clientId' van de /iam-token-handler/public/authorize CGI: -------- uitvoer -------- HTTP/1.1 302 -------- versus -------- HTTP/1.1 400 ------------------------ |
Cause
Omdat /iam-token-handler/public/authorize kan reageren met 302 en 400 van verschillende verzoeken, gaat de kwetsbaarheidsscanner ervan uit dat er een risico bestaat op een beveiligingslek met betrekking tot SQL-injectie.
Resolution
Het technische team van Dell heeft bevestigd dat dit een fout-positief is.
De tokenhandler heeft geen interactie met een van de databases.
Affected Products
PowerProtect Data Manager Appliance, PowerProtect DM5500Article Properties
Article Number: 000236546
Article Type: Solution
Last Modified: 17 Oct 2024
Version: 1
Find answers to your questions from other Dell users
Support Services
Check if your device is covered by Support Services.