PowerProtect：一体机 DM5500 — 安全扫描在端口 443 上检测到“CGI 通用 SQL 注入（盲）”

Summary: PowerProtect Data Manager 备份一体机 [DM5500]：安全漏洞扫描程序将端口 443 上的“CGI 通用 SQL 注入（盲）”检测为误报。

This article applies to This article does not apply to This article is not tied to any specific product. Not all product versions are identified in this article.
Check out other resources

Symptoms

安全漏洞扫描程序（在 DM5500 上检测到以下内容：

插件程序 ID 风险 主机 端口 名称 概要 描述 插件程序输出
42424 （外部链接） 高 设备 TCP/443 CGI 通用 SQL 注入（盲） 托管在远程 Web 服务器上的 CGI 应用程序可能容易受到 SQL 注入攻击。

扫描软件可以通过将特制参数发送到 Web 服务器上托管的 CGI 脚本来获得不同的回报。这表明它可以修改应用程序的行为并直接访问底层数据库。

 

这可能允许攻击者绕过身份验证、访问机密数据、修改数据库，甚至获得远程操作系统的控制权。

 使用“GET HTTP”方法，扫描器发现：

+ 以下资源可能容易受到 SQL 盲注的攻击：

+ /iam-token-handler/public/authorize CGI 的“clientId”参数：
/iam-token-handler/public/authorize?clientId=common-gui-service'||'common-gui-service


--------输出 --------
HTTP/1.1 302
-------- 与 --------
HTTP/1.1 400
------------------------

Cause

由于 /iam-token-handler/public/authorize 可以使用来自不同请求的 302 和 400 进行响应，因此漏洞扫描程序假定它存在 SQL 注入漏洞的风险。

Resolution

戴尔工程团队已确认这是误报。 

令牌处理程序不与任何数据库交互。 

Affected Products

PowerProtect Data Manager Appliance, PowerProtect DM5500
Article Properties
Article Number: 000236546
Article Type: Solution
Last Modified: 17 Oct 2024
Version:  1
Find answers to your questions from other Dell users
Support Services
Check if your device is covered by Support Services.