Ce bulletin a été rédigé par Vigil@nce : http://vigilance.fr/

SYNTHÈSE DE LA VULNÉRABILITÉ

Un attaquant authentifié peut injecter des commandes SQL dans
l’outil ping ou traceroute de Centreon.

– Gravité : 2/4
– Date création : 21/04/2010

DESCRIPTION DE LA VULNÉRABILITÉ

Le produit Centreon comporte deux outils pour vérifier si une
machine est joignable :
– www/include/tools/ping.php
– www/include/tools/traceroute.php

L’utilisateur doit saisir l’adresse IP ou le nom de la machine à
joindre. Cependant, cette variable ("host") n’est pas filtrée
avant d’être utilisée dans ping/traceroute et journalisée dans la
base.

Un attaquant authentifié peut donc injecter des commandes SQL dans
l’outil ping ou traceroute de Centreon.

ACCÈS AU BULLETIN VIGIL@NCE COMPLET

http://vigilance.fr/vulnerabilite/Centreon-injection-SQL-dans-ping-9601