2021-10-18 10:37
中華資安國際發現CVE弱點,國內某電子簽核平台具有多項漏洞
中華資安國際Red Team團隊發現,國內某電子簽核平台具有多項漏洞(CVE-2021-28171、CVE-2021-28172、CVE-2021-28173),包括不安全的認證機制、Path Traversal與任意檔案上傳弱點,影響範圍包含部分國內企業。
【風險等級】高度威脅
【影響範圍】電子簽核系統4.0版本
【細節描述】
- CVE-2021-28171:攻擊者可透過竄改特定Cookie值來偽造任意使用者,並以該使用者權限瀏覽網頁,此漏洞可歸類於OWASP TOP 10 2017之A2 - Broken Authentication類型中。
- CVE-2021-28172:攻擊者可在不經過任何身分認證情況下,下載伺服器上的任意檔案,此漏洞可歸類於CWE之22 - Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') 類型中。
- CVE-2021-28173:攻擊者可在不經過任何身分認證情況下,上傳任意類型的檔案來達到遠端程式碼執行,此漏洞可歸類於CWE之434 – Unrestricted Upload of File with Dangerous Type類型中。
開發廠商接獲通報後已配合儘速釋出相關更新,若機關或企業有使用此電子簽核系統,建議儘快聯繫廠商進行修補更新。
中華資安國際建議採取以下防範措施:
- 使用者:聯繫廠商盡速安裝修補更新檔。
- 系統開發商:在程式開發過程中應針對輸入參數做檢查。
- 系統開發商:建議導入安全程式開發流程(SSDLC)、事前進行安全程式碼開發教育訓練,並定期執行源碼檢測及滲透測試等安全檢測,才能有效地確保產品及用戶安全。
【參考資訊】