2021-03-10 06:43

中華資安國際發現CVE弱點，國內某入口網資訊系統具有多項漏洞

中華資安國際Red Team團隊發現，國內某入口網資訊系統具有多項漏洞(CVE-2021-22850、CVE-2021-22851、CVE-2021-22852)，包括SQL Injection、權限跨越，影響範圍包含國內部分政府機關以及企業機構。


【風險等級】高度威脅

【影響範圍】

CVE-2021-22851: v3 2.0<2.0-54、v3 3.0<3.0-54

CVE-2021-22852: v3 3.0 3.0-124 ~ 3.0-146、v3 2.0 2.0-124 ~ 2.0-146


【細節描述】

  1. CVE-2021-22850：行動入口網存有不安全的頁面，使攻擊者在未經授權下，存取或執行未經授權的功能。此漏洞可歸類於OWASP TOP 10 2017之A6 - Security Misconfiguration類型中。
  1. CVE-2021-22851、CVE-2021-22852：行動入口網產品存有SQL Injection漏洞，攻擊者可於特定URL的參數注入SQL指令，取得資料庫結構或資料，此漏洞可歸類於OWASP TOP 10 2017之A1 - Injection類型中。


開發廠商接獲通報後已配合儘速釋出相關更新，若機關或企業有使用此校務資訊系統，建議儘快聯繫廠商進行修補更新。

中華資安國際建議採取以下防範措施：

  1. 使用者：聯繫廠商盡速安裝修補更新檔。
  2. 系統開發商：在程式開發過程中應針對輸入參數做檢查。
  3. 系統開發商：建議導入安全程式開發流程（SSDLC）、事前進行安全程式碼開發教育訓練，並定期執行源碼檢測及滲透測試等安全檢測，才能有效地確保產品及用戶安全。


【參考資訊】

        NIST(CVE-2021-22850)

        NIST(CVE-2021-22851)

        NIST(CVE-2021-22852)

近期消息