CVE:CVE-2002-0232
CNNVD:CNNVD-200205-109
多路由器流量图示(Multi Router Traffic Grapher)是一个监视网络节点上流量的软件。MRTG生成包含GIF动画的HTML页面来表示出一个当时网络流量的图示。
MRTG CGI程序实现上存在输入验证错误，远程攻击者可以利用这个漏洞浏览主机上任意有权限读取的文件。
问题在于MRTG的一些CGI脚本未对用户输入做充分的过滤，远程攻击者通过在输入里插入"../"字串可以遍历主机上的目录，读取任意Web进程有权限读取的文件。受此漏洞影响的脚本程序有mrtg.cgi、traffic.cgi、14all-1.1.cgi和14all.cgi，它们都有使用"cfg"变量，例如http://somehost/mrtg.cgi?cfg=../../../../../../../../etc/passwd。
solution:Upgrade mrtg multi_router_traffic_grapher_cgi to a higher version than 2.9.17,and avoid the version 2.9.17