中華資安國際發現CVE弱點,國內某差勤系統具有多項漏洞

中華資安國際Red Team團隊發現,國內某差勤系統具有多項漏洞(CVE-2021-22853CVE-2021-22854CVE-2021-22855),包括不安全的存取控制、SQL Injection與遠端程式碼執行(RCE)弱點,影響範圍包含部分國內中小企業。


【風險等級】高度威脅

【影響範圍】差勤系統7.3.2020.1110前的版本

【細節描述】

  1. CVE-2021-22853攻擊者取得使用者識別碼資訊後,可透過特定封包存取部分機敏資訊,如使用者登入資訊,進而導致登入功能無法正常使用,此漏洞可歸類於OWASP TOP 10 2017A5 - Broken Access Control類型中
  1. CVE-2021-22854:攻擊者可在不經過任何身分認證情況下,透過參數注入未經授權的SQL語法,取得資料庫的所有資料,此漏洞可歸類於OWASP TOP 10 2017A1 - Injection類型中。
  2. CVE-2021-22855:攻擊者可在不經過任何身分認證情況下,傳送惡意的序列化物件執行任意指令,此漏洞可歸類於OWASP TOP 10 2017A8 - Insecure Deserialization類型中。


開發廠商接獲通報後已配合儘速釋出相關更新,若機關或企業有使用此差勤系統,建議儘快聯繫廠商進行修補更新。

中華資安國際建議採取以下防範措施:

  1. 使用者:聯繫廠商盡速安裝修補更新檔。
  2. 系統開發商:在程式開發過程中應針對輸入參數做檢查。
  3. 系統開發商:建議導入安全程式開發流程(SSDLC)、事前進行安全程式碼開發教育訓練,並定期執行源碼檢測滲透測試等安全檢測,才能有效地確保產品及用戶安全。


【參考資訊】

NIST(CVE-2021-22853)

NIST(CVE-2021-22854)

NIST(CVE-2021-22855)