PowerProtect: Urządzenie DM5500 — skanowanie bezpieczeństwa wykrywa "CGI Generic SQL Injection (blind)" na porcie 443

Summary: PowerProtect Data Manager Appliance [DM5500]: Skaner luk w zabezpieczeniach wykrywa "CGI Generic SQL Injection (blind)" na porcie 443 jako fałszywie dodatni.

This article applies to This article does not apply to This article is not tied to any specific product. Not all product versions are identified in this article.
Check out other resources

Symptoms

Skaner luk w zabezpieczeniach (wykrywa następujące elementy w urządzeniu DM5500:

Identyfikator wtyczki Ryzyko Host Port Nazwa Streszczenie Opis Wyjście wtyczki
42424 (ŁĄCZE ZEWNĘTRZNE) Wysokie Przyrząd TCP/443 CGI Generic SQL Injection (w ciemno) Aplikacja CGI hostowana na zdalnym serwerze WWW jest potencjalnie podatna na ataki polegające na wstrzyknięciu kodu SQL.

Oprogramowanie skanujące może uzyskać różne zwroty, wysyłając specjalnie spreparowane parametry do skryptu CGI hostowanego na serwerze internetowym. Sugeruje to, że może zmodyfikować zachowanie aplikacji i uzyskać bezpośredni dostęp do bazowej bazy danych.

 

Może to umożliwić atakującemu ominięcie uwierzytelniania, uzyskanie dostępu do poufnych danych, modyfikację bazy danych, a nawet przejęcie kontroli nad zdalnym systemem operacyjnym.

 Za pomocą metody "GET HTTP" skaner stwierdził, że:

+ Następujące zasoby mogą być podatne na ślepe wstrzyknięcie kodu SQL:

+ Parametr "clientId" pliku CGI /iam-token-handler/public/authorize:
/iam-token-handler/public/authorize?clientId=common-gui-service'||'common-gui-service


Dane wyjściowe -------- --------
HTTP/1.1 302
-------- w porównaniu z --------
HTTP/1.1 400
------------------------

Cause

Ponieważ /iam-token-handler/public/authorize może odpowiedzieć za pomocą 302 i 400 z różnych żądań, skaner luk w zabezpieczeniach zakłada, że jest zagrożony luką w zabezpieczeniach polegającą na wstrzyknięciu kodu SQL.

Resolution

Zespół inżynierów firmy Dell potwierdził, że jest to fałszywy alarm. 

Program obsługi tokenów nie wchodzi w interakcję z żadną bazą danych. 

Affected Products

PowerProtect Data Manager Appliance, PowerProtect DM5500
Article Properties
Article Number: 000236546
Article Type: Solution
Last Modified: 17 Oct 2024
Version:  1
Find answers to your questions from other Dell users
Support Services
Check if your device is covered by Support Services.