|
|
n.runs-SA-2006.001 Asbru HardCore Web Content Editor - Command Injection
n.runs GmbH
http://www.nruns.com
n.runs-SA-2006.001
security(at)nruns.com
15-Oct-2006
* * *
Vendor: Asbru Software, http://asbrusoft.com
Product: Asbru HardCore Web Content Editor
Vulnerability: Command Injection
Risk: HIGH
Vendor communication:
2006/10/05 initial notification of AsbruSoft
2006/10/08 fix was created over the weekend, released on Oct 8.
Overview:
The Asbru Software Web Content Editor allows for web-based advanced text
processing, replacing the typical TEXTAREA input fields with a rich user
interface, offering HTML editing capabilities, formatting and various other features.
It integrates with Asbru Software's Content Management System, works with
most modern browsers and comes in versions for ASP, ASP.NET, PHP,
ColdFusion and JSP.
Description:
The spell checking feature uses ASpell, which is invoked through the
respective language's process creation commands, such as proc_open() in PHP, Runtime's
exec() method in JSP, shell.Run() in ASP and the like. All these
invocations are prone to a command injection attack, since ASpell's dictionary argument is
specified from a HTTP request parameter and the input is not sanitized.
This leads to immediate shell command execution if an attacker carefully
crafts this parameter's value. The vulnerability is only present if the
spell checking capability is in use.
Solution:
AsbruSoft reacted very quickly. The vulnerability was reported on Oct 5 and
a fix was created over the weekend, released on Oct 8. The updated version
6.0.22 is available from http://editor.asbrusoft.com/page.php/id=727
Credit:
Bug found by Jan Muenther of n.runs GmbH.
References:
None
Unaltered electronic reproduction of this advisory is permitted.
For all other reproduction or publication, in printing or otherwise, contact security@nruns.com for permission.
Use of the advisory constitutes acceptance for use in an "as is" condition.
All warranties are excluded. In no event shall n.runs be liable for any damages whatsoever including direct, indirect, incidental, consequential, loss of business profits or special damages, even if n.runs has been advised of the possibility of such damages.
Copyright 2006 n.runs GmbH. All rights reserved. Terms of use apply. |
|
 |
|
11. August 2010:
Corporate News
n.runs veröffentlicht ihren Halbjahresbericht 2010 und bekräftigt die Prognose für das Gesamtjahr 2010
+++ Umsatzerlöse mit EUR 2,94 Mio. rund 9 Prozent über Vorjahresniveau(Halbjahr 2009: EUR 2,69 Mio.)
+++ n.runs erhöht EBIT um EUR 0,58 Mio. auf EUR 0,1 Mio.(Vorjahr: EUR -0,48 Mio.)
+++ Kostenmanagement konsequent vollzogen
+++ Fokussierung auf das Consulting-Geschäft als Core Business führt zu hohem Auftragseingang und Neukundengewinnung
* * *
16. Juni 2010:
Corporate News
n.runs veröffentlicht den Geschäftsbericht 2009 und gibt einen Ausblick auf 2010
+++ Umsatzerlöse in Höhe von EUR 5,66 Millionen erwirtschaftet
+++ EBIT auf minus EUR 0,32 Millionen verbessert (Vorjahr: minus EUR 0,80 Millionen)
+++ Straffes Kosten- und Liquiditätsmanagement umgesetzt
+++ Ausblick 2010: Umsatz: EUR 6,50 Millionen, EBIT: EUR 0,40 Millionen
* * *
1. März 2010:
Corporate News
n.runs wechselt vom Entry Standard in den Open Market
* * *
14. Januar 2010:
Pressemitteilung
n.runs AG präsentiert auf der OOP 2010 „Security in Design“
als Meilenstein für sichere Softwareentwicklung
* * *
5. Januar 2010:
Pressemitteilung
Der Oberurseler IT-Consultingspezialist erweitert
sein Portfolio mit der “On Demand” Penetration Testing Plattform des indischen Anbieters iViZ
* * *
11. Dezember 2009:
Corporate News
Neuwahl zum Aufsichtsrat der n.runs AG
+++ Ordentliche Hauptversammlung 2009 beschließt Neubesetzung des Aufsichtsrats
+++ Günther Paul Löw erwartungsgemäß zum Aufsichtsratsvorsitzenden gewählt
+++ Ralph-Peter Quetz zum Stellvertreter ernannt
* * *
28. September 2009:
Corporate News
n.runs AG veröffentlicht die Halbjahreszahlen 2009
+++ Umsatzrückgang von 19 Prozent auf EUR 2,69 Millionen
+++ EBIT von EUR -0,48 Millionen (Halbjahr 2008: EUR -0,40 Millionen)
+++ Kosteneinsparungen von über EUR 1,1 Millionen erzielt
+++ Übergeordnete IT-Trends bleiben bestehen
* * *
4. September 2009:
Corporate News
n.runs veröffentlicht den Geschäftsbericht 2008
Umsatzerlöse steigen um 22 Prozent auf EUR 6,70 Millionen
+++ EBIT verbessert sich um EUR 0,21 Millionen auf EUR -0,80 Millionen
+++ Konzentration auf profitables Consultinggeschäft
* * *
4. März 2009:
Pressemitteilung
n.runs AG und TÜV TRUST IT TÜV AUSTRIA GmbH geben
Kooperation im IT-Securityumfeld bekannt
* * *
27 Februar 2009:
Corporate News
n.runs platziert Kapitalerhöhung
+++ Erhöhung des Grundkapitals um 8,7 Prozent
+++ Mittelzufluss für Reorganisation und weiteres Wachstum im Consulting
+++ Ausgliederung der Softwarelösung aps-AV®
* * *
17 Dezember 2008:
Advisory: Opera HTML parsing flaw lead to remote code execution
* * *
27 Oktober 2008:
Advisory: Eaton MGE OPS Network Shutdown Module authentication bypass and code execution
* * *
21 Oktober 2008:
Advisory: Internet Explorer HTML Object Memory Corruption
* * *
20 Oktober 2008:
Pressemitteilung
n.runs und Avira geben strategische Partnerschaft im IT-Sicherheitsumfeld bekannt
* * *
14 Oktober 2008:
Pressemitteilung
SYSTEMS 2008: n.runs AG präsentiert Bollwerk gegen den „Feind im eigenen Netz“ und Microsoft "Security Development Lifecycle Pro Network"
* * *
30 September 2008:
Corporate News
Zahlen des ersten Halbjahreszahlen 2008 bestätigen Expansionskurs
+++ Umsatzerlöse steigen um knapp 30 Prozent auf EUR 3,32 Millionen
+++ EBITDA um EUR 0,27 Millionen auf EUR -0,35 Millionen verbessert
+++ Ergebnis von Softwareinvestitionen geprägt, Consulting profitabel
+++ Ausblick 2008
* * *
17 September 2008:
Corporate News
n.runs wird durch Microsoft als Mitglied des neuen Programms Microsoft Security Development Lifecyle Pro Network berufen
+++ n.runs AG exklusives Mitglied im Microsoft SDL Pro Network
+++ Einziges Mitglied des MS SDL Pro Network auf europäischem Festland
+++ Mittelfristiger Umsatzbeitrag von über 10 Prozent geplant
* * *
17 September 2008:
Pressemitteilung
Software-Gigant beruft IT-Sicherheitsunternehmen zum Mitglied des "Microsoft Security Development Lifecycle Pro Network" Microsoft setzt im Rahmen ihres neuen Partnerprogramms "SDL Pro Network" in EMEA auf die n.runs AG
* * *
10 September 2008:
Advisory
Cross-Site Scripting Filter Evasion in various frameworks and applications
* * *
10 September 2008:
Advisory
Horde Framework Cross-Site Scripting in filename MIME attachments
* * *
25 August 2008:
Press-Release
IT-Sicherheit für Regierungen und Militär:
n.runs und Thales kooperieren
* * *
20 August 2008:
Artikel
"IT-Grundschutz" des BSI und secumedia Verlages - Antivirensoftware :
Wegbereiter für
Datendiebe
* * *
20 August 2008:
Press Release
Wachsende Bedrohung:
folgenschwere Angriffe auf E-Mail-/AV-Systeme nehmen stetig zu.
* * *
|
|
|
