【弱點說明】事件通告:中華資安國際發現CVE弱點,國內某教育訓練管理系統具有多項漏洞 【影響範圍】 【細節描述】 1.CVE-2021-35963:數位學習平台上傳功能之特定參數未恰當的過濾檔案格式,使遠端攻擊者不須登入,可上傳含有惡意腳本內容的檔案,進行遠端執行程式碼(RCE)攻擊,此漏洞可歸類於OWASP TOP 10 2017之A4 - Insecure Direct Object References類型中。
2.CVE-2021-35964:數位學習平台之管理頁面未進行身分驗證,使遠端攻擊者不須登入,即可使用部分管理功能,查看會員資料,並進行課程修改或刪除,此漏洞可歸類於OWASP TOP 10 2017之A5 - Broken Access Control類型中。
3.CVE-2021-35965:數位學習平台含有脆弱的出廠預設管理者密碼,並以明文方式Hard-code於網頁原始碼中,使遠端攻擊者不須登入,即可取得管理者權限,此漏洞可歸類於OWASP TOP 10 2017之A2 - Broken Authentication類型中。
開發廠商接獲通報後已配合儘速釋出相關更新,若機關或企業有使用此校務資訊系統,建議儘快聯繫廠商進行修補更新。 【建議措施】 預設中華資安國際建議採取以下防範措施:
1.使用者:聯繫廠商盡速安裝修補更新檔。
2.系統開發商:在程式開發過程中應針對輸入參數做檢查。
3.系統開發商:建議導入安全程式開發流程(SSDLC)、事前進行安全程式碼開發教育訓練,並定期執行源碼檢測及滲透測試等安全檢測,才能有效地確保產品及用戶安全。
|