2021-11-30 14:48
中華資安國際發現CVE弱點,國內某財產管理系統具有多項漏洞
中華資安國際Red Team團隊發現,國內某財產管理系統具有多項漏洞(CVE-2021-22856、CVE-2021-22857、CVE-2021-22858),包括SQL Injection、任意檔案下載與跨權任意檔案上傳(RCE)弱點,影響範圍包含國內部分縣市政府。
【風險等級】高度威脅
【影響範圍】財產管理系統2021前的版本
【細節描述】
- CVE-2021-22856:攻擊者對系統進行SQL injection攻擊,攻擊成功後可繞過系統登入機制,且可對資料下達任何資料庫查詢語法,此漏洞可歸類於OWASP TOP 10 2017之A1 - Injection類型中。
- CVE-2021-22857:攻擊者可在不經過任何身分認證情況下 , 進行任意檔案下載攻擊,攻擊成功後可竊取伺服器上任何檔案,此漏洞可歸類於OWASP TOP 10 2017之A5 - Broken Access Control類型中。
- CVE-2021-22858:攻擊者可在不經過任何身分認證情況下,進行任意檔案上傳攻擊,上傳功能未恰當的過濾的檔案格式與檔名,成功後便可執行任意程式碼。,此漏洞可歸類於OWASP TOP 10 2017之A5 - Broken Access Control類型中。
開發廠商接獲通報後已配合儘速釋出相關更新,若機關或企業有使用此財產管理系統,建議儘快聯繫廠商進行修補更新。
中華資安國際建議採取以下防範措施:
- 使用者:聯繫廠商盡速安裝修補更新檔。
- 系統開發商:在程式開發過程中應針對輸入參數做檢查。
- 系統開發商:建議導入安全程式開發流程(SSDLC)、事前進行安全程式碼開發教育訓練,並定期執行源碼檢測及滲透測試等安全檢測,才能有效地確保產品及用戶安全。
【參考資訊】