Endian Firewall /cgi-bin/logs_ids.cgi DATE Perl コマンドインジェクション

Endian Firewall バージョン 3.3.25 およびそれ以前のバージョンでは、認証されたユーザーが /cgi-bin/logs_ids.cgi の DATE パラメータを介して任意の OS コマンドを実行できます。DATE パラメータの値は、Perl の open() 呼び出しに渡されるファイルパスを構築するために使用されます。これにより、不完全な正規表現の検証により、コマンドインジェクションが発生します。