JVNVU#95114228: Dell KACE K1000 にクロスサイトスクリプティングの脆弱性

Dell が提供する KACE K1000 には、クロスサイトスクリプティングの脆弱性が存在します。

Dell が提供する KACE K1000 には、adminui/user_list.php の LABEL_ID パラメータの処理に問題があり、クロスサイトスクリプティング (CWE-79) の脆弱性が存在します。

ユーザのウェブブラウザ上で、任意のスクリプトを実行される可能性があります。

2014年2月5日現在、対策方法は不明です。

ワークアラウンドを実施する
以下の回避策を適用することで、本脆弱性の影響を軽減することが可能です。

ベンダ	リンク
DELL	Dell KACE K1000 Systems Management Appliance

CERT/CC Vulnerability Note VU#813382
Dell KACE K1000 management appliance contains a cross-site scripting vulnerability

2014.02.05における脆弱性分析結果

評価尺度	攻撃成立条件	評価値
攻撃経路	インターネット経由からの攻撃が可能	高
認証レベル	匿名もしくは認証なしで攻撃が可能	高
攻撃成立に必要なユーザーの関与	リンクをクリックしたり、ファイルを閲覧するなどのユーザ動作で攻撃される	中
攻撃の難易度	専門知識や運がなくとも攻撃可能	高

JVNVU#95114228 Dell KACE K1000 にクロスサイトスクリプティングの脆弱性