中華資安國際發現CVE弱點，國際知名控制項套件具有一項漏洞

中華資安國際Red Team團隊發現，國際知名控制項套件具有一項漏洞(CVE-2021-36483)，名為不安全的反序列化弱點，影響範圍遍及國內外企業。

【風險等級】高度威脅

【影響範圍】控制項套件v21.1及之前的版本

【細節描述】

1. CVE-2021-36483：攻擊者可透過客製化的輸入格式，當伺服器或客戶端呼叫特定函式時觸發不安全的反序列化，來達到任意程式碼執行，此漏洞可歸類於OWASP TOP 10 2017之A8 – Insecure Deserialization類型中。

開發廠商接獲通報後已配合儘速釋出相關更新，若機關或企業有使用此套件，建議儘快聯繫廠商進行修補更新。

中華資安國際建議採取以下防範措施：

1. 使用者：聯繫廠商盡速安裝修補更新檔。
2. 系統開發商：在程式開發過程中應針對輸入參數做檢查。
3. 系統開發商：建議導入安全程式開發流程（SSDLC）、事前進行安全程式碼開發教育訓練，並定期執行源碼檢測及滲透測試等安全檢測，才能有效地確保產品及用戶安全。

【參考資訊】

NIST(CVE-2021-36483)