Skybox 至 7.5 VersionWebService soapenv:Body sql 注入漏洞

CVE编号

CVE-2015-9249

利用情况

暂无

补丁情况

N/A

披露时间

2018-01-13

漏洞描述

Skybox Platform美国Skybox Security公司的一款企业级网络安全管理平台。该平台具有攻击向量分析、防火墙管理、漏洞和威胁管理等功能。
Skybox Platform 7.5.401之前的版本中的/skyboxview/webservice/services/VersionWebService存在SQL注入漏洞。远程攻击者可借助soapenv:Body元素利用该漏洞执行SQL命令。

解决建议

目前厂商已发布升级补丁以修复漏洞，详情请关注厂商主页：
https://skybox.xyz/

参考链接
https://www.sec-consult.com/fxdata/seccons/prod/temedia/advisories_txt/201512...

受影响软件情况

#	类型	厂商	产品	版本	影响面
1
	运行在以下环境
	应用	skyboxsecurity	skybox_platform	*		Up to (excluding) 7.5.201

CVSS3评分 9.8

• 攻击路径 网络
• 攻击复杂度 低
• 权限要求 无
• 影响范围 未更改
• 用户交互 无
• 可用性 高
• 保密性 高
• 完整性 高

CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H CWE-ID 漏洞类型 CWE-89 SQL命令中使用的特殊元素转义处理不恰当（SQL注入）