关键信息 CVE编号: CVE-2013-6492 漏洞类型: Auth bypass (权限绕过) 影响产品: piranha 影响版本: piranha-0.8.6-4.el6.x86_64 报告日期: 2013-12-13 修复日期: 2014-02-13 CVE编号: CVE-2013-6492 修复更新: - RHSA-2014:0175 for Red Hat Enterprise Linux 6 - RHSA-2014:0174 for Red Hat Enterprise Linux 5 漏洞描述 在piranha的web UI配置中，只有GET请求需要认证（通过在配置文件中的 设置），而通过POST请求可以访问某些页面，导致权限绕过。 复现步骤 1. 预期效果: GET请求需要认证 输出应提示认证需要。 2. 实际效果: 同样的请求使用POST时，返回页面内容 返回admin页面内容，无需认证。 影响与修复 风险: 可用于修改lvs.cf配置文件，带来安全风险。 修复: 问题已在CentOS bug tracker中报告，Red Hat已发布安全更新RHSA-2014:0175和RHSA-2014:0174进行修复。