2024-12-02 02:40
中華資安國際發現CVE弱點，國內某身分認證系統具有多項漏洞
中華資安國際Red Team團隊發現，國內某身分認證系統具有多項漏洞，包括Arbitrary File Read through Path Traversal、XSS弱點，可能影響該產品用戶。
【風險等級】中度威脅
【影響範圍】 IDEXPERT身分認證系統2.5 至 2.8 的版本
【細節描述】
漏洞1：CVE-2024-10651未妥善驗證管理者介面特定功能參數，允許已取得管理者權限之遠端攻擊者利用此漏洞讀取任意系統檔案。可能影響資訊系統的機敏性。
漏洞2：CVE-2024-10652未妥善驗證特定功能參數，允許未經身分鑑別之遠端攻擊者注入JavaScript語法進行Reflected Cross-site scripting攻擊。可能對client端瀏覽器造成影響。
開發廠商接獲通報後已配合儘速釋出相關更新，若機關或企業有使用此身分認證系統，建議儘快聯繫廠商進行修補更新。
中華資安國際建議採取以下防範措施：
- 使用者：聯繫廠商盡速安裝修補更新檔。
- 系統開發商：在程式開發過程中應針對輸入參數做檢查。
- 系統開發商：建議導入安全程式開發流程（SSDLC）、事前進行安全程式碼開發教育訓練，並定期執行源碼檢測及滲透測試等安全檢測，才能有效地確保產品及用戶安全。
【參考資訊】