Ejecución arbitraria de comandos en HP Openview Network Node Manager
Hasta que se libere un parche oficial, HP recomienda a los usuarios de Openview que muevan “cgi-bin/connectedNodes.ovpl” a otro directorio.
Se ha descubierto una vulnerabilidad en HP Openview Network Node Manager. Este problema podría ser explotado por usuarios maliciosos para comprometer sistemas donde corra HP Openview Network Node Manager (OV NNM) en sus versiones 6.2, 6.4, 7.01 y 7.50.
El parámetro “node” presente en cgi-bin/connectedNodes.ovpl no es saneado convenientemente antes de emplearse como un argumento de línea de comandos. Esto podría conducir a la ejecución de comandos shell arbitrarios, a través de cadenas especialmente preparadas. Este problema ha sido hallado en otros scripts CGI, como por ejemplo, cdpView.ovpl, freeIPaddrs.ovpl, and ecscmg.ovpl.
Hasta que se libere un parche oficial, HP recomienda a los usuarios de Openview que muevan “cgi-bin/connectedNodes.ovpl” a otro directorio. Esta regla de ofuscación es extensible al resto de scripts afectados: cdpView.ovpl, freeIPaddrs.ovpl, ecscmg.ovpl
