PowerProtect: Прилад DM5500 - Сканування безпеки виявляє "CGI Generic SQL Injection (blind)" на порту 443

Summary: Пристрій PowerProtect Data Manager [DM5500]: Сканер вразливостей безпеки визначає «CGI Generic SQL Injection (blind)» на порту 443 як помилкове спрацьовування.

This article applies to This article does not apply to This article is not tied to any specific product. Not all product versions are identified in this article.
Check out other resources

Symptoms

Сканер вразливостей безпеки (виявляє на DM5500 наступне:

ID плагіна Ризик Господар Порт Ім'я Підсумок Опис Вихід плагіна
42424 (EXTERNAL LINK) Високий Пристрій TCP/443 CGI Загальна SQL-ін'єкція (сліпа) CGI-додаток, розміщений на віддаленому веб-сервері, потенційно схильний до атак SQL-ін'єкцій.

Програмне забезпечення для сканування може отримувати різні повернення, надсилаючи спеціально створені параметри на CGI-скрипт, розміщений на веб-сервері. Це свідчить про те, що він може змінити поведінку програми та безпосередньо отримати доступ до базової бази даних.

 

Це може дозволити зловмиснику обійти автентифікацію, отримати доступ до конфіденційних даних, змінити базу даних або навіть отримати контроль над віддаленою операційною системою.

 За допомогою методу "GET HTTP" сканер виявив, що:

+ Наступні ресурси можуть бути вразливими до сліпої SQL-ін'єкції:

+ Параметр 'clientId' CGI /iam-token-handler/public/authori:
/iam-token-handler/public/authorize?clientId=common-gui-service'||'common-gui-service


-------- вихід --------
HTTP/1.1 302
-------- проти --------
HTTP/1.1 400
------------------------

Cause

Оскільки /iam-token-handler/public/authorize може відповідати 302 і 400 на різні запити, сканер вразливостей припускає, що він схильний до ризику уразливості SQL-ін'єкції.

Resolution

Команда інженерів Dell підтвердила, що це помилкове спрацьовування. 

Обробник токенів не взаємодіє з жодною з баз даних. 

Affected Products

PowerProtect Data Manager Appliance, PowerProtect DM5500
Article Properties
Article Number: 000236546
Article Type: Solution
Last Modified: 17 Oct 2024
Version:  1
Find answers to your questions from other Dell users
Support Services
Check if your device is covered by Support Services.