漏洞信息详情

DD-WRT 'apply.cgi'多个跨站请求伪造漏洞

• CNNVD编号：CNNVD-200908-176
• 危害等级： 中危
  
• CVE编号： CVE-2008-6975
• 漏洞类型： 跨站请求伪造
• 发布时间： 2009-08-14
• 威胁类型： 远程
• 更新时间： 2009-08-18
• 厂        商： dd-wrt
• 漏洞来源：

漏洞简介

DD-WRT 24 sp2以及之前的版本中的apply.cgi存在多个跨站请求伪造漏洞。远程攻击者可以劫持管理员身份认证对以下的请求：(1)借助ping_ip参数执行任意指令；(2)借助http_username和http_passwd 参数更改管理信任凭证；(3)借助remote_management参数激活远程管理；或(5)借助from，to，ip，和pro参数配置端口内部捷传。

漏洞公告

目前厂商已经发布了升级补丁以修复这个安全问题，补丁下载链接： http://www.dd-wrt.com/phpBB2/viewtopic.php?t=55173

参考网址

来源: BUGTRAQ 名称: 20081211 Re: Multiple XSRF in DD-WRT (Remote Root Command Execution) 链接:http://www.securityfocus.com/archive/1/499135 来源: BUGTRAQ 名称: 20081210 Re: Multiple XSRF in DD-WRT (Remote Root Command Execution) 链接:http://www.securityfocus.com/archive/1/499119 来源: BUGTRAQ 名称: 20081208 Multiple XSRF in DD-WRT (Remote Root Command Execution) 链接:http://www.securityfocus.com/archive/1/499024 来源: MILW0RM 名称: 9209 链接:http://www.milw0rm.com/exploits/9209 来源: MISC 链接:http://www.dd-wrt.com/phpBB2/viewtopic.php?t=55173

受影响实体

• Dd-Wrt Dd-Wrt:24:Sp2  

补丁

暂无