CVE-2009-2936

ВысокийОпубликовано

Интерфейс командной строки (также известный как Server CLI или административный интерфейс) в главном процессе обратного прокси-сервера Varnish до версии...

Опубликовано: 5 апр. 2010 г.
Обновлено: 7 авг. 2024 г.
Назначение CNA: mitre
Наблюдены доказательства: 19 дек. 2014 г.

Первичный CVSS

7,5/ 10Высокий

nvd · CVSS 2.0

AV:N/AC:L/Au:N/C:P/I:P/A:P

Оценка вероятности EPSS

63,8 %

Высокий · следующие 30 дней

Процентиль: 99,2 %
Дата модели: 13 окт. 2026 г.

EPSS – это статистическая оценка, а не достоверность или мера воздействия. Объедините это с CVSS, статусом KEV, воздействием и вашей средой.

Резюме

Интерфейс командной строки (также известный как Server CLI или административный интерфейс) в главном процессе обратного прокси-сервера Varnish до версии 2.1.0 не требует аутентификации для команд, принимаемых через TCP-порт, что позволяет удалённым злоумышленникам (1) выполнять произвольный код с помощью директивы vcl.inline, предоставляющей файл конфигурации VCL, содержащий встроенный код на C; (2) изменять владельца главного процесса с помощью директив param.set, stop и start; (3) читать первую строку произвольного файла с помощью директивы vcl.load; или (4) проводить атаки межсайтовой подделки запросов (CSRF), используя расположение жертвы в доверенной сети и некорректную проверку вводимых данных директив. ПРИМЕЧАНИЕ: вендор оспаривает этот отчёт, заявляя, что он «принципиально ошибочен и бессмыслен».

Источники

Данные репозиториев: Файлы: 2 · Репозитории: 1

2 Модуль

Varnish Cache CLI File ReadМодуль
modules/auxiliary/scanner/varnish/varnish_cli_file_read.rb
Metasploit Framework modules
ОбнаружениеНаблюдены доказательства: 26 сент. 2026 г.Ревизия: 6144ecdd0f63Связанный инструмент
Заявленные условия
- verification: check_not_declared($.auxiliary_scanner/varnish/varnish_cli_file_read.check)
Varnish Cache CLI Login UtilityМодуль
modules/auxiliary/scanner/varnish/varnish_cli_login.rb
Metasploit Framework modules
ОбнаружениеНаблюдены доказательства: 26 сент. 2026 г.Ревизия: 6144ecdd0f63Связанный инструмент
Заявленные условия
- verification: check_not_declared($.auxiliary_scanner/varnish/varnish_cli_login.check)

Varnish Cache CLI Interface - Remote Code Execution (Metasploit)Эксплойт
Patrick Webster · linux · 19 дек. 2014 г.

Ответственное использование

Используйте информацию об уязвимостях только в тех системах, которыми вы владеете или имеете право тестировать. Kitploit ссылается на метаданные общедоступных исследований и не хранит код эксплойта или вредоносные полезные данные.