查看完整版本: Data Domain管理接口本地特权提升漏洞

Data Domain管理接口本地特权提升漏洞

影响版本:
Data Domain Data Domain OS 3.0
Data Domain Data Domain OS 4.0.3.5
详细说明:
Data Domain的DDX阵列系列是业界第一个企业数据中心级的基于“重复数据删除(Deduplication)＂技术数据保护阵列。

Data Domain传递数据到UNIX SHELL执行时不正确过滤用户输入，本地攻击者可以利用漏洞提升特权。

Data Domain管理接口的多个命令简单的调用UNIX命令，如ping, ifconfig,
date, netstat, uptime等，传递给这些命令的参数缺少验证，通过特殊构建参数，可导致注入特殊SHELL字符而执行SHELL命令。

参考:
漏洞提供者
Elliot Kendall
解决方案:
升级到最新程序：

[url]http://www.datadomain.com/[/url]

测试方法:

[警 告]

以下程序(方法)可能带有攻击性,仅供安全研究与教学之用.风险自负!

ifconfig eth0:\;sh
ping sh interface eth0:\;
//Sebug.net