2021-07-03 14:27

中華資安國際發現CVE弱點，國內某校務資訊系統具有多項漏洞

中華資安國際Red Team團隊發現，國內某校務資訊系統具有多項漏洞(CVE-2020-10505、CVE-2020-10506、CVE-2020-10507)，指出此系統具有SQL Injection、任意檔案下載與任意檔案上傳(RCE)弱點，影響範圍包含國內多家企業。


【風險等級】高度威脅

【影響範圍】校務資訊系統2020前的版本

【細節描述】

  1. CVE-2020-10505：攻擊者可在不經過任何身分認證情況下，進行SQL injection攻擊，攻擊成功後可對資料下達任何資料庫查詢語法，此漏洞可歸類於OWASP TOP 10 2017之A1 - Injection類型中。
  1. CVE-2020-10506：攻擊者可在不經過任何身分認證情況下 , 進行任意檔案下載攻擊，攻擊成功後可竊取伺服器上任何檔案，此漏洞可歸類於OWASP TOP 10 2017之A5 - Broken Access Control類型中。
  2. CVE-2020-10507：攻擊者可在不經過任何身分認證情況下，進行任意檔案上傳攻擊，上傳功能未恰當的過濾的檔案格式與檔名，成功後便可執行任意程式碼。此漏洞可歸類於OWASP TOP 10 2017之A5 - Broken Access Control類型中。

開發廠商接獲通報後已配合儘速釋出相關更新，若機關或企業有使用此校務資訊系統，建議儘快聯繫廠商進行修補更新。

中華資安國際建議採取以下防範措施：

  1. 使用者：聯繫廠商盡速安裝修補更新檔。
  2. 系統開發商：在程式開發過程中應針對輸入參數做檢查。
  3. 系統開發商：建議導入安全程式開發流程（SSDLC）、事前進行安全程式碼開發教育訓練，並定期執行源碼檢測及滲透測試等安全檢測，才能有效地確保產品及用戶安全。


【參考資訊】

NIST(CVE-2020-10505) (2020/04/15)

NIST(CVE-2020-10506) (2020/04/15)

NIST(CVE-2020-10507) (2020/04/15)

TWCERT/CC(TVN-201912001) (2020/04/15)

TWCERT/CC(TVN-201912002) (2020/04/15)

TWCERT/CC(TVN-201912004)(2020/04/15)

近期消息