BUGTRAQ ID: 30730
CVE(CAN) ID: CVE-2008-3714
AWStats是一款流行的基于Web的网站流量分析软件。
AWStats的awstats.pl脚本没有正确地过滤config请求参数,如果用户跟随了恶意链接的话就可能导致在浏览器会话中注入并执行任意web脚本或HTML代码。
Debian已经为此发布了一个安全公告(DSA-1679-1)以及相应补丁:
DSA-1679-1:New awstats packages fix cross-site scripting
链接:<a href=“http://www.debian.org/security/2008/dsa-1679” target=“_blank”>http://www.debian.org/security/2008/dsa-1679</a>
补丁下载:
Source archives:
<a href=“http://security.debian.org/pool/updates/main/a/awstats/awstats_6.5+dfsg-1+etch1.diff.gz” target=“_blank”>http://security.debian.org/pool/updates/main/a/awstats/awstats_6.5+dfsg-1+etch1.diff.gz</a>
Size/MD5 checksum: 20369 bbe38406f0402fd5b7be2d0a427223c8
<a href=“http://security.debian.org/pool/updates/main/a/awstats/awstats_6.5+dfsg-1+etch1.dsc” target=“_blank”>http://security.debian.org/pool/updates/main/a/awstats/awstats_6.5+dfsg-1+etch1.dsc</a>
Size/MD5 checksum: 1079 2fd97dfcfcbf48cbe0e4a1a431cb43bd
<a href=“http://security.debian.org/pool/updates/main/a/awstats/awstats_6.5+dfsg.orig.tar.gz” target=“_blank”>http://security.debian.org/pool/updates/main/a/awstats/awstats_6.5+dfsg.orig.tar.gz</a>
Size/MD5 checksum: 1041837 af6cbfbf470eb45f5238501813d6d1c6
Architecture independent packages:
<a href=“http://security.debian.org/pool/updates/main/a/awstats/awstats_6.5+dfsg-1+etch1_all.deb” target=“_blank”>http://security.debian.org/pool/updates/main/a/awstats/awstats_6.5+dfsg-1+etch1_all.deb</a>
Size/MD5 checksum: 837326 878a4f0ab2ccb36c324c0c171a6a39b5
补丁安装方法:
首先,使用下面的命令来下载补丁软件:
然后,使用下面的命令来安装补丁:
使用apt-get自动安装补丁包:
首先,使用下面的命令更新内部数据库:
然后,使用下面的命令安装更新软件包:
http://www.example.com/awstats/awstats.pl?config=www.example.com&%22onload=%22alert(document.domain)//