Einspeisung von beliebigen Schadcode möglich
Kritische Lücke in Open Web Analytics gemeldet
Bei Open Web Analytics handelt es sich um eine Analyseanwendung für das Besucherverhalten auf Websites. Angreifer können eigenen Code einspeisen.
Laut einer Meldung der Sicherheitsexperten von Secunia tritt die Schwachstelle in Version 1.2.3 von Open Web Analytics auf. Ältere Versionen der Web-Analyse-Anwendung sind unter Umständen ebenfalls betroffen.
Der Mangel entsteht durch die fehlerhafte Bereinigung des Parameters „IP“, der an die Datei „mw_plugin.php“ übergeben wird. Angreifer können diese Schwachstelle nutzen, um mit Hilfe eines Verzeichniswechselangriffs beliebige lokale und entfernte PHP-Dateien einzubinden und auszuführen. Die neuste Version 1.2.4 von Open Web Analytics beseitigt diesen Mangel. (vgw)