Python RRDtool Module Function Format String组件graph()函数

发布日期：2013-05-18
更新日期：2013-05-22

受影响系统：
py-rrdtool py-rrdtoo 1.4.7
描述：
--------------------------------------------------------------------------------
BUGTRAQ  ID: 60004
 
Python RRDtool可以提供制图和日志记录工具RRDtool的Python接口。
 
RRDtool 1.4.7在graph()函数的实现上存在安全漏洞，攻击者可利用此漏洞在受影响应用上下文中执行任意代码或使应用崩溃。
 
<*来源：Thomas Pollet
 
  链接：http://www.scip.ch/en/?vuldb.8475
 *>

测试方法：
--------------------------------------------------------------------------------

警 告

以下程序(方法)可能带有攻击性，仅供安全研究与教学之用。使用者风险自负！
$ python -c &quot;import rrdtool rrdtool.graph(&#39;/tmp/out.png&#39;,&#39;-f&#39;,&#39;%n%n&#39;)&quot;

建议：
--------------------------------------------------------------------------------
厂商补丁：
 
py-rrdtool
 ----------
 目前厂商还没有提供补丁或者升级程序，我们建议使用此软件的用户随时关注厂商的主页以获取最新版本：
 
http://sourceforge.net/projects/py-rrdtool/