事件通告：中華資安國際發現CVE弱點，國內某電子簽核平台具有多項漏洞

【影響範圍】

• 電子簽核系統4.0版本

【細節描述】

1.CVE-2021-28171：攻擊者可透過竄改特定Cookie值來偽造任意使用者，並以該使用者權限瀏覽網頁，此漏洞可歸類於OWASP TOP 10 2017之A2 - Broken Authentication類型中。 2.CVE-2021-28172：攻擊者可在不經過任何身分認證情況下，下載伺服器上的任意檔案，此漏洞可歸類於CWE之22 - Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') 類型中。 3.CVE-2021-28173：攻擊者可在不經過任何身分認證情況下，上傳任意類型的檔案來達到遠端程式碼執行，此漏洞可歸類於CWE之434 – Unrestricted Upload of File with Dangerous Type類型中。 開發廠商接獲通報後已配合儘速釋出相關更新，若機關或企業有使用此電子簽核系統，建議儘快聯繫廠商進行修補更新。

【建議措施】

1.使用者：聯繫廠商盡速安裝修補更新檔。 2.系統開發商：在程式開發過程中應針對輸入參數做檢查。 3.系統開發商：建議導入安全程式開發流程（SSDLC）、事前進行安全程式碼開發教育訓練，並定期執行源碼檢測及滲透測試等安全檢測，才能有效地確保產品及用戶安全。