OXID eShop 'index.php'存在多个HTTP应答拆分漏洞

CVE编号

CVE-2014-2017

利用情况

暂无

补丁情况

N/A

披露时间

2018-01-19

漏洞描述

OXID eShop(又名OXID eSales)是一个的e-commerce系统,采用PHP开发,使用MySQL来存储数据。
OXID eShop 'index.php'存在多个HTTP应答拆分漏洞，通过"anid", "cnid"和"listtype"参数传递给index.php的输入在用于限制HTTP头字段时缺少过滤，允许远程攻击者利用漏洞把包含任意HTTP头的应答发送给用户。

解决建议

OXID eShop Professional, Community或Enterprise version 4.7.11/5.0.11 and 4.8.4/5.1.4已经修复该漏洞，建议用户下载更新：
http://www.oxidforge.org/

参考链接
https://bugs.oxid-esales.com/view.php?id=5635
https://oxidforge.org/en/security-bulletin-2014-002.html

受影响软件情况

#	类型	厂商	产品	版本	影响面
1
	运行在以下环境
	应用	oxidforge	eshop	*		Up to (excluding) 4.7.11
	运行在以下环境
	应用	oxidforge	eshop	*		Up to (excluding) 5.0.11
	运行在以下环境
	应用	oxidforge	eshop	*	From (including) 4.8.0	Up to (excluding) 4.8.4
	运行在以下环境
	应用	oxidforge	eshop	*	From (including) 5.1.0	Up to (excluding) 5.1.4

CVSS3评分 6.1

• 攻击路径 网络
• 攻击复杂度 低
• 权限要求 无
• 影响范围 已更改
• 用户交互 需要
• 可用性 无
• 保密性 低
• 完整性 低

CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N CWE-ID 漏洞类型 CWE-93 对CRLF序列的转义处理不恰当（CRLF注入）