Adobe RoboHelp Server帮助错误日志跨站脚本漏洞

受影响系统：

adobe robohelp server 7
adobe robohelp server 6

描述：

---

bugtraq  id: 30137
cve(can) id: cve-2008-2991

adobe robohelp server软件用于扩展和支持adobe robohelp的功能，为站点和intranet提供帮助系统和知识库。

robohelp server没有正确地过滤某些url输入便返回给了用户，如果攻击者能够访问robohelp帮助错误日志，或诱骗能够访问该日志的用户点击了恶意url的话，就可以执行跨站脚本攻击。

〈*来源：greg patton
  
  链接：http://secunia.com/advisories/31001/
        http://www.adobe.com/support/security/bulletins/apsb08-16.html
        http://marc.info/?l=full-disclosure&m=121559737330585&w=2
*〉

建议：

---

临时解决方法：

* 阻断对80/tcp和443/tcp端口的不可信任通讯。

厂商补丁：

adobe
-----
目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：

http://www.adobe.com/support/security/bulletins/downloads/apsb08-16.zip