CVE-2010-0112

Symantec IM Manager-in 8.4.16 versiyasından əvvəlki IIS extension-dakı Administrative Interface hissəsində çoxsaylı SQL injection zəiflikləri uzaqdan hücumçulara aşağıdakılar vasitəsilə ixtiyari SQL əmrlərini icra etməyə imkan verir: (1) rdpageimlogic.aspx faylında rdReport parametri (rdServer.dll daxilindəki sGetDefinition funksiyası və müəyyən hesabat faylındakı SQL ifadələri ilə bağlıdır); (2) rdpageimlogic.aspx faylına göndərilən DetailReportGroup (və ya DetailReportGroup.lgx) hərəkətindəki qeyd edilməmiş parametrlər; (3) selclause, (4) whereTrendTimeClause, (5) TrendTypeForReport, (6) whereProtocolClause və ya (7) groupClause parametrləri rdpageimlogic.aspx faylına göndərilən SummaryReportGroup (və ya SummaryReportGroup.lgx) hərəkətində; (8) loginTimeStamp, (9) dbo, (10) dateDiffParam və ya (11) whereClause parametrləri (a) rdpageimlogic.aspx və ya (b) rdPage.aspx fayllarına göndərilən LoggedInUsers (və ya LoggedInUSers.lgx) hərəkətində; (12) selclause, (13) whereTrendTimeClause, (14) TrendTypeForReport, (15) whereProtocolClause və ya (16) groupClause parametrləri rdpageimlogic.aspx faylına göndəriləndə; (17) IMAdminReportTrendFormRun.asp faylına göndərilən groupList parametri; və ya (18) IMAdminScheduleReport.asp faylına göndərilən email parametri.