|
|
| 警告：赛门铁克存在扫描引擎设计缺陷 |
| 作者：未知 来源：本站整理 发布时间：2006-4-27 9:45:07 发布人：admin |
 减小字体
 增大字体
安全研究人员已经发现赛门铁克的Scan Engine安全软件存在三个bug，攻击者利用这些bug可以获得Scan Engine服务器的控制权，或者获得访问文件的权力。
发现这些bug的Rapid7公司表示，其中最严重的问题是由一个存在于产品的认证机制中的基本设计缺陷引起的。
这些隐患早在一月就已经向赛门铁克报告过了，并且已经在最近的5.1版本中得到修复。赛门铁克在上周五表示，它们强烈建议用户为尽快应用最新的升级。
Scan Engine是一个网络服务器软件，开发人员可以通过它来把赛门铁克的扫描技术整合到他们自己的应用程序之中。赛门铁克表示，Rapid7所发现的隐患不会影响到他们的桌面安全产品。
存在于赛门铁克认证机制中的设计缺陷，使得任何了解底层通信协议的人员都可能获得Scan Engine服务器的控制权。
这个安全软件通过一个Java Applet的客户端来对用户进行验证，但是Scan Engine本身却从来不会检查用户是否已经经过验证，这就意味着攻击者能够使用Scan Engine服务器所使用的协议来发送他们自己的XML请求，以此来获得服务器的控制权。
Rapid7这次发现的隐患还包括Scan Engine在处理HTTP请求方式中存在的问题，另外一个是使用SSL（安全套接字层）安全协议时存在的问题。
PConline
|
|
[]
[返回上一页]
[打 印]
[收 藏] |
|
| ∷相关文章评论∷ （评论内容只代表网友观点，与本站立场无关！） [更多评论...] |
|
|
