OCS Inventory NG ocsreports 安全漏洞

CVE编号

CVE-2018-15537

利用情况

暂无

补丁情况

官方补丁

披露时间

2018-11-30

漏洞描述

OCS Inventory NG（Open Computer and Software Inventory Next Generation）是OCS Inventory团队开发的一套资产管理软件。该软件能够帮助管理员掌握计算机软件安装和配置，以及在HTTP代理和服务器之间实现低网络流量通讯。ocsreports是其中的一个管理控制台。 OCS Inventory NG中的ocsreports存在安全漏洞。远程攻击者可通过发送特制的HTTP请求利用该漏洞获取服务器的访问权限。

解决建议

建议您更新当前系统或软件至最新版，完成漏洞的修复。

参考链接
http://packetstormsecurity.com/files/150330/OCS-Inventory-NG-ocsreports-Shell...
http://seclists.org/fulldisclosure/2018/Nov/40

受影响软件情况

#	类型	厂商	产品	版本	影响面
1
	运行在以下环境
	应用	ocsinventory-ng	ocsinventory_ng	-	-
	运行在以下环境
	系统	debian_10	ocsinventory-server	*		Up to (excluding) 2.5+dfsg1-1
	运行在以下环境
	系统	debian_11	ocsinventory-server	*		Up to (excluding) 2.8.1+dfsg1-1
	运行在以下环境
	系统	debian_12	ocsinventory-server	*		Up to (excluding) 2.8.1+dfsg1-1
	运行在以下环境
	系统	debian_sid	ocsinventory-server	*		Up to (excluding) 2.8.1+dfsg1-1
查看完整数据

阿里云评分 2.7

• 攻击路径 远程
• 攻击复杂度 复杂
• 权限要求 普通权限
• 影响范围 有限影响
• EXP成熟度 未验证
• 补丁情况 官方补丁
• 数据保密性 无影响
• 数据完整性 无影响
• 服务器危害 无影响
• 全网数量 100

CWE-ID 漏洞类型 CWE-434 危险类型文件的不加限制上传