Ejecución arbitraria de comandos en HP Openview Network Node Manager

Se ha descubierto una vulnerabilidad en HP Openview Network Node
Manager. Este problema podría ser explotada por usuarios
maliciosos para comprometer sistemas donde corra HP Openview Network
Node Manager (OV NNM) en sus versiones 6.2, 6.4, 7.01 y 7.50.
El parámetro "node" presente en cgi-bin/connectedNodes.ovpl no es
saneado convenientemente antes de emplearse como un argumento de línea
de comandos. Esto podría conducir a la ejecución de comandos shell
arbitrarios, a través de cadenas especialmente preparadas.

Este problema ha sido hallado en otros scripts CGI, como por ejemplo,
cdpView.ovpl, freeIPaddrs.ovpl, and ecscmg.ovpl.

Hasta que se libere un parche oficial, HP recomienda a los usuarios de
Openview que muevan "cgi-bin/connectedNodes.ovpl" a otro directorio.
Esta regla de ofuscación es extensible al resto de scripts afectados:
cdpView.ovpl, freeIPaddrs.ovpl, ecscmg.ovpl

Sergio Hernando
shernando@hispasec.com

Más información:

SSRT051023 rev.0 - HP Openview Network Node Manager (OV NNM) Remote Unauthorized Access
http://itrc.hp.com/service/cki/docDisplay.do?docId=HPSBMA01224

HP OpenView Network Node Manager Input Validation Hole in 'connectedNodes.ovpl' Lets Remote Users Execute Arbitrary Commands
http://securitytracker.com/alerts/2005/Aug/1014791.html