ZOHO ManageEngine Netflow Analyzer和IT360 路径遍历漏洞

QQ空间 新浪微博 微信 QQ facebook twitter
漏洞ID 1157973 漏洞类型 路径遍历
发布时间 2014-12-05 更新时间 2019-07-16
CVE编号 CVE-2014-5446 CNNVD-ID CNNVD-201412-076
漏洞平台 N/A CVSS评分 5.0
|漏洞来源
http://www.cnnvd.org.cn/web/xxk/ldxqById.tag?CNNVD=CNNVD-201412-076
|漏洞详情
ZOHO ManageEngine Netflow Analyzer和IT360都是美国卓豪(ZOHO)公司的产品。ManageEngine Netflow Analyzer是一套基于Web的带宽监控工具;ManageEngine IT360是一套IT运维综合治理平台。 ZOHO ManageEngine Netflow Analyzer 8.6版本至10.2版本和IT360 10.3版本的DisplayChartPDF servlet中存在目录遍历漏洞。远程攻击者可借助‘filename’参数中的目录遍历字符‘..’利用该漏洞读取任意文件。
|参考资料

来源:packetstormsecurity.com
链接:http://packetstormsecurity.com/files/129336/ManageEngine-Netflow-Analyzer-IT360-File-Download.html
来源:FULLDISC
链接:http://seclists.org/fulldisclosure/2014/Dec/9
来源:support.zoho.com
链接:https://support.zoho.com/portal/manageengine/helpcenter/articles/cve-2014-5445-cve-2014-5446-fix-for-arbitrary-file-download
来源:BUGTRAQ
链接:http://www.securityfocus.com/archive/1/archive/1/534122/100/0/threaded
来源:BID
链接:http://www.securityfocus.com/bid/71404
来源:BUGTRAQ
链接:http://www.securityfocus.com/archive/1/archive/1/534141/100/0/threaded
来源:XF
链接:http://xforce.iss.net/xforce/xfdb/99046
来源:raw.githubusercontent.com
链接:https://raw.githubusercontent.com/pedrib/PoC/master/ManageEngine/me_netflow_it360_file_dl.txt