中華資安國際發現CVE弱點，知名保全門禁與差勤系統具有多項漏洞

中華資安國際Red Team團隊發現，國內市占率相當高的知名保全門禁與差勤系統具有Use of Hard-coded Credentials (CVE-2021-35961)以及Path Traversal漏洞(CVE-2021-35962)，簡述如下：

CVE-2021-35961：攻擊者可以透過預設帳號、密碼進入系統，取得最高權限。此漏洞可歸類於OWASP TOP 10 2017之A6 – Security Misconfiguration類型中。

CVE-2021-35962：攻擊者可在不經過任何身分認證情況下，即可利用Path Traversal漏洞下載系統機敏檔案。此漏洞可歸類於OWASP TOP 10 2017之A5 - Broken Access Control類型中。

開發廠商接獲通報後已配合儘速釋出相關更新，若機關或企業有使用門禁與差勤系統者，建議儘快聯繫廠商進行修補更新。

中華資安國際建議採取以下防範措施：

1. 使用者：聯繫廠商盡速安裝修補更新檔。

2. 公文系統開發商：在程式開發過程中應針對輸入參數做檢查。

3. 公文系統開發商：建議導入安全程式開發流程（SSDLC）、事前進行安全程式碼開發教育訓練，並定期執行源碼檢測及滲透測試等安全檢測，才能有效地確保產品及用戶安全。