CVE:CVE-2002-1344
CNNVD:CNNVD-200212-028
wget是一套免费且开源的支持从网络上自动下载文件的下载工具。
wget没有正确处理NLST FTP的服务器应答，远程攻击者可以利用这个漏洞构建恶意FTP服务器，诱使用户访问，把恶意文件覆盖到FTP客户端当前目录之外的位置上。
当wget处理来自FTP服务器的NLST应答时，RFC规定需要FTP客户端在包含目录信息时需要详细检查输入，而wget没有对此信息进行充分检查，因此，如果恶意FTP服务程序提供的文件包含目录信息如下字符：
"../"，"/path"，"..\"(windows系统下)，"C:"(windows系统下)，"..." (windows系统下等于../..)
当wget使用一些通配符进行下载时，没有检查这些文件路径信息，可造成客户端的目录遍历，盲目下载到客户端指定目录以外位置上。如果熟知客户端系统中文件名和相应目录，可以直接覆盖这些文件，造成拒绝服务等攻击。
solution:Upgrade gnu wget to a higher version than 1.5.3,1.6,1.7,1.7.1,1.8,1.8.1,1.8.2,and avoid the version 1.5.3,1.6,1.7,1.7.1,1.8,1.8.1,1.8.2; Upgrade sun cobalt_raq_xtr to a higher version than *