中華資安國際發現CVE弱點,國內某入口網資訊系統具有一項漏洞

中華資安國際Red Team團隊發現,國內某入口網資訊系統具有一風險漏洞(CVE-2022-38118)SQL Injection弱點,影響範圍遍及國內機關、企業。

【風險等級】高度威脅

【影響範圍】

OAKlouds行動入口網(OAKSv2OAKSv3)會議室管理模組,受影響之套件版號:

OAKlouds-mol_metting-2.0 <= OAKlouds-mol_metting-2.0-163

OAKlouds-mol_metting-3.0 <= OAKlouds-mol_metting-3.0-163


【細節描述】

CVE-2022-38118 OAKlouds行動入口網之會議室系統功能存在SQL Injection風險,攻擊者在取得一般使用者權限後,可於特定參數注入SQL指令,取得資料庫結構或資料。

開發廠商接獲通報後已配合儘速釋出相關更新,若機關或企業有使用此入口網系統,建議儘快聯繫廠商進行修補更新。

中華資安國際建議採取以下防範措施:

  1. 使用者:聯繫廠商盡速安裝修補更新檔。
  2. 系統開發商:在程式開發過程中應針對輸入參數做檢查。
  3. 系統開發商:建議導入安全程式開發流程(SSDLC)、事前進行安全程式碼開發教育訓練,並定期執行源碼檢測及滲透測試等安全檢測,才能有效地確保產品及用戶安全。

【參考資訊】

NIST(CVE-2022-38118)