Symantec IM Manager多个SQL注入漏洞

- AV AC AU C I A
发布： 2025-04-13
修订： 2025-04-13

Bugtraq ID: 44299 Symantec IM Manager为企业IM网络提供认证支持，对企业即时信息通信进行无缝管理，并实行安全保障、日志和存档。 Symantec IM Manager存在多个输入验证问题，远程攻击者可以利用漏洞进行SQL注入攻击，获得敏感信息或操作数据库。 -IM Manager中的管理接口存在缺陷。安装的IIS扩展主页面需要验证，不过许多页面可以直接访问，IMAdminScheduleReport.asp 脚本没有充分过滤'email'参数可导致SQL注入攻击。IMAdminReportTrendFormRun.asp对'groupList'参数，rdpageimlogic.aspx脚本对'selclause', 'whereTrendTimeClause', 'TrendTypeForReport', 'whereProtocolClause'和'groupClause'参数缺少过滤，可导致SQL注入攻击。 -rdpageimlogic.aspx和rdPage.aspx页面存在缺陷，通过设置'rdReport'参数给'LoggedInUsers'值，攻击者可强制服务器装载LoggedInUSers.lgx定义文件，此文件在'loginTimeStamp', 'dbo', 'dateDiffParam'和'whereClause'参数下存在多个SQL注入攻击。 -rdpageimlogic.aspx页面存在缺陷，通过设置'rdReport'参数给'SummaryReportGroup'值，攻击者可强制服务器装载SummaryReportGroup.lgx定义文件，此文件在'selclause', 'whereTrendTimeClause', 'TrendTypeForReport', 'whereProtocolClause'和'groupClause'参数下存在多个SQL注入攻击。 - rdPageImlogic.aspx页面存在缺陷，通过设置'rdReport'参数给'DetailReportGroup'值，攻击者可强制服务器装载DetailReportGroup.lgx定义文件，此文件多个参数存在多个SQL注入攻击。 -IM Manager接口默认监听TCP...

0%

漏洞利用/PoC

暂无可用Exp或PoC

受影响的平台与产品

当前有0条受影响产品信息