涉及程序： cgihtml 1.69 描述： cgihtml存在多个缺陷 详细： cgihtml是一款解析WWW通用网关接口输入和以HTML语言输出的软件，从个人主页到大型电子商务网站都有其应用。在当前发行的cgihtml 1.69版中存在多个缺陷，能导致攻击者发起DoS攻击。 1.临时文件使用缺陷: 这个缺陷最为明显。在上传表格文件时，如果对文件名不做任何检查，cgihtml将在系统的/tmp目录下（或设定在其他目录），利用客户端提供的名称创建一个临时文件。通过使用一个包含\`../\`路径的文件名，攻击者能在/tmp目录中写入任何文件。 2.临时文件创建缺陷： 由于创建临时文件的方式不安全，将导致本地攻击者利用symlink或类似的方法进行攻击。 3.content-length解析缺陷： cgihtml对攻击者提交的content-length请求缺少正确的检查，并分配内存存储post数据。利用此缺陷能使攻击者发起DoS攻击。 4.内存管理和输入结构缺陷： cgihtml对multipart/form-data数据缺乏正确的检查，使攻击者能够破坏内存存取，并有可能导致缓冲溢出。 攻击方法： 暂无有效攻击代码 解决方案： 目前厂商还没有提供补丁或者升级程序，建议用户随时关注厂商站点： http://www.eekim.com/software/cgihtml/