Ce bulletin a été rédigé par Vigil@nce : http://vigilance.fr/offre

SYNTHÈSE DE LA VULNÉRABILITÉ

Un attaquant, authentifié sur F5 BIG-IP Secure Access Manager,
peut injecter une requête SQL dans le formulaire de
saveSettings.php, afin d’accéder aux données de la base.

– Produits concernés : BIG-IP Appliance
– Gravité : 2/4
– Date création : 22/01/2013

DESCRIPTION DE LA VULNÉRABILITÉ

La page /sam/admin/reports/php/saveSettings.php de F5 BIG-IP
Secure Access Manager enregistre la configuration pour les
rapports dans une base de données.

Cependant, le paramètre "defaultQuery" du formulaire
saveSettings.php indique des données qui sont insérées dans une
requête SQL, sans être filtrées.

Un attaquant, authentifié sur F5 BIG-IP Secure Access Manager,
peut donc injecter une requête SQL dans le formulaire de
saveSettings.php, afin d’accéder aux données de la base.

ACCÈS AU BULLETIN VIGIL@NCE COMPLET

http://vigilance.fr/vulnerabilite/F5-BIG-IP-injection-SQL-via-saveSettings-php-12346