F5 Firepass多个输入验证漏洞

F5的FirePass服务器是一款可以通过任何标准Web浏览器为用户提供到公司网络安全接入的网络设备。 FirePass服务器存在多个跨站脚本攻击，远程攻击者可以利用漏洞获得目标用户敏感信息。 问题一是主要登录页面-my.logon.php3对用户提交的crs和xcho参数缺少过滤，吨斤毫秒度 恶意脚本代码作为参数数据，并诱使用户查看可导致脚本代码在目标浏览器上执行并泄露敏感信息。 问题二是管理控制台存在多个输入验证错误，包括系统全局定制(/vdesk/admincon/index.php?a=per)，新浏览器页面(/vdesk/admincon/index.php?a=bro)及启动应用程序页(/vdesk/admincon/webyfiers.php)对参数缺少过滤，可导致跨站脚本攻击。 'my.activation.php3'脚本对'vhost'参数也缺少过滤，可导致跨站脚本攻击。 'my.activation.php3'脚本在对用户登录失败处理时会返回用户密码或密码不匹配信息&quot;Either Username or Password do not match! Please try again.&quot;，如果提供的用户名存在在LDAP中，消息会显示小写的&quot;password&quot;，但如果不存在LDAP，会显示“Password”字样，可导致判别用户敏感信息。 另外使用特殊的URL可导致绕过URL ACL限制，访问受限资源。 F5 FirePass 目前没有解决方案提供： <a href="http://f5.com/products/FirePass/" target="_blank">http://f5.com/products/FirePass/</a>