製品・ソフトウェアに関する情報
Vulnerability Search
SolarWinds Storage Resource Monitor Profiler の Web Services の Web サーバにおける SQL インジェクションの脆弱性
Title SolarWinds Storage Resource Monitor Profiler の Web Services の Web サーバにおける SQL インジェクションの脆弱性
Summary

SolarWinds Storage Resource Monitor (SRM) Profiler (旧 Storage Manager (STM)) の Web Services の Web サーバには、SQL インジェクションの脆弱性が存在します。

Possible impacts 第三者により、以下のパラメータを介して、任意の SQL コマンドを実行される可能性があります。  (1) ScriptServlet サーブレットの ScriptSchedule パラメータ (2) WindowsEventLogsServlet サーブレットの winEventId パラメータ (3) WindowsEventLogsServlet サーブレットの winEventLog パラメータ (4) ProcessesServlet サーブレットの processOS パラメータ (5) BackupExceptionsServlet サーブレットの group パラメータ (6) BackupExceptionsServlet サーブレットの groupName パラメータ (7) BackupExceptionsServlet サーブレットの clientName パラメータ (8) BackupAssociationServlet サーブレットの valDB パラメータ (9) BackupAssociationServlet サーブレットの valFS パラメータ (10) HostStorageServlet サーブレットの orderBy パラメータ (11) HostStorageServlet サーブレットの orderDir パラメータ (12) DuplicateFilesServlet サーブレットの fileName パラメータ (13) DuplicateFilesServlet サーブレットの sortField パラメータ (14) DuplicateFilesServlet サーブレットの sortDirection パラメータ (15) QuantumMonitorServlet サーブレットの orderFld パラメータ (16) QuantumMonitorServlet サーブレットの orderDir パラメータ (17) NbuErrorMessageServlet サーブレットの exitCode パラメータ (18) UserDefinedFieldConfigServlet サーブレットの udfName パラメータ (19) UserDefinedFieldConfigServlet サーブレットの displayName パラメータ (20) UserDefinedFieldConfigServlet サーブレットの udfDescription パラメータ (21) UserDefinedFieldConfigServlet サーブレットの udfDataValue パラメータ (22) UserDefinedFieldConfigServlet サーブレットの udfSectionName パラメータ (23) UserDefinedFieldConfigServlet サーブレットの udfId パラメータ (24) XiotechMonitorServlet サーブレットの sortField パラメータ (25) XiotechMonitorServlet サーブレットの sortDirection パラメータ (26) BexDriveUsageSummaryServlet サーブレットの sortField パラメータ (27) BexDriveUsageSummaryServlet サーブレットの sortDirection パラメータ (28) ScriptServlet サーブレットの state パラメータ (29) FileActionAssignmentServlet サーブレットの assignedNames パラメータ (30) WindowsEventLogsServlet サーブレットの winEventSource パラメータ (31) XiotechMonitorServlet サーブレットの name パラメータ (32) XiotechMonitorServlet サーブレットの ipOne パラメータ (33) XiotechMonitorServlet サーブレットの ipTwo パラメータ (34) XiotechMonitorServlet サーブレットの ipThree パラメータ
Solution

ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。
Publication Date Feb. 26, 2016, midnight
Registration Date May 18, 2016, 4:29 p.m.
Last Update May 18, 2016, 4:29 p.m.
CVSS3.0 : 緊急
Score 9.8
Vector CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS2.0 : 危険
Score 10
Vector AV:N/AC:L/Au:N/C:C/I:C/A:C
Affected System
SolarWinds
Storage Resource Monitor 6.2.3 未満
CVE (情報セキュリティ 共通脆弱性識別子)
CWE (共通脆弱性タイプ一覧)
ベンダー情報
Change Log
No Changed Details Date of change
0 [2016年05月18日]
  掲載		 Feb. 17, 2018, 10:37 a.m.
NVD Vulnerability Information
CVE-2016-4350
Summary

Multiple SQL injection vulnerabilities in the Web Services web server in SolarWinds Storage Resource Monitor (SRM) Profiler (formerly Storage Manager (STM)) before 6.2.3 allow remote attackers to execute arbitrary SQL commands via the (1) ScriptSchedule parameter in the ScriptServlet servlet; the (2) winEventId or (3) winEventLog parameter in the WindowsEventLogsServlet servlet; the (4) processOS parameter in the ProcessesServlet servlet; the (5) group, (6) groupName, or (7) clientName parameter in the BackupExceptionsServlet servlet; the (8) valDB or (9) valFS parameter in the BackupAssociationServlet servlet; the (10) orderBy or (11) orderDir parameter in the HostStorageServlet servlet; the (12) fileName, (13) sortField, or (14) sortDirection parameter in the DuplicateFilesServlet servlet; the (15) orderFld or (16) orderDir parameter in the QuantumMonitorServlet servlet; the (17) exitCode parameter in the NbuErrorMessageServlet servlet; the (18) udfName, (19) displayName, (20) udfDescription, (21) udfDataValue, (22) udfSectionName, or (23) udfId parameter in the UserDefinedFieldConfigServlet servlet; the (24) sortField or (25) sortDirection parameter in the XiotechMonitorServlet servlet; the (26) sortField or (27) sortDirection parameter in the BexDriveUsageSummaryServlet servlet; the (28) state parameter in the ScriptServlet servlet; the (29) assignedNames parameter in the FileActionAssignmentServlet servlet; the (30) winEventSource parameter in the WindowsEventLogsServlet servlet; or the (31) name, (32) ipOne, (33) ipTwo, or (34) ipThree parameter in the XiotechMonitorServlet servlet.

Publication Date May 10, 2016, 5:59 a.m.
Registration Date Jan. 26, 2021, 2:12 p.m.
Last Update Nov. 21, 2024, 11:51 a.m.
Affected software configurations
Configuration1 or higher or less more than less than
cpe:2.3:a:solarwinds:storage_resource_monitor:*:*:*:*:*:*:*:* 6.2.1
Related information, measures and tools
Common Vulnerabilities List