聚焦源代码安全,网罗国内外最新资讯!
编译:代码卫士
微软公司的分析师对该平台的一次安全审计中发现了这些漏洞,并在2023年8月告知Perforce 公司。微软的游戏开发制作室使用该源代码管理平台。
尽管微软表示尚未看到这些漏洞遭在野利用的情况,但建议用户升级至在2023年11月7日发布的版本2023.1/2513900。
这四个漏洞主要是拒绝服务 (DoS) 问题,其中最严重的可导致未认证攻击者以 LocalSystem 的权限实现任意远程代码执行后果。
这四个漏洞是:
CVE-2023-5759(CVSS评分7.5):可通过 RPC 标头滥用导致未认证 DoS。
CVE-2023-45849(CVSS评分9.8):以 LocalSystem 权限实现未认证的 RCE。
CVE-2023-35767(CVSS评分7.5):通过远程命令实现未认证的DoS。
CVE-2023-45319(CVSS评分7.5):通过远程命令实现未认证的DoS。
上述最严重的漏洞是CVE-2023-45849,可导致未认证攻击者以 “LocalSystem” 的身份执行代码,而该权限是未系统函数保留的高权限 Windows OS 账户。该账户级别可访问本地资源和系统文件、修改注册表设置等。
该漏洞是因为该服务器对 user-bgtask RPC 命令处理不当造成的。在默认配置下,Perforce Server 允许未认证攻击者远程以 LocalSystem 身份执行任意命令如 PowerShell 脚本等。
攻击者可利用CVE-2023-45849 安装后门、访问敏感信息、创建或修改系统设置并可能完全控制运行易受攻击的 Perforce Server 的系统。
余下的三个漏洞严重性较低,可导致DoS攻击,但仍然可导致运营中断,从而在大型部署中造成重大经济损失。
除了从厂商的下载门户下载最新版本的 Helix Core 外,微软建议采取如下措施:
定期更新第三方软件
限制访问权限,如使用VPN或IP白名单
记录对 Perforce Server 的所有访问
为IT和安全团队设置崩溃报警
通过网络分段防止安全事件
此外,建议采取官方安全指南提供的建议。
https://www.bleepingcomputer.com/news/security/microsoft-discovers-critical-rce-flaw-in-perforce-helix-core-server/
题图:Pixabay License
本文由奇安信编译,不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。
奇安信代码卫士 (codesafe)
国内首个专注于软件开发安全的产品线。
觉得不错,就点个 “在看” 或 "赞” 吧~