聚焦源代码安全,网罗国内外最新资讯!
编译:代码卫士
Telerik Report Server 是一款基于服务器的报告平台,为报告以及用于在组织机构范围内创建、部署、交付和管理报告的工具提供中心化存储服务。
该漏洞是因为不可信数据的反序列化弱点造成的,该弱点可被用于在未修复服务器上实施远程代码执行。该漏洞影响 Report Server 2024 Q2 (10.1.24.514) 及更早版本,已在2024 Q2 (10.1.24.709) 版本中修复。
Progress Software 公司在周三的安全公告中提醒称,“更新至 Report Server 2024 Q2 (10.1.24.709) 或后续版本是清除该漏洞的唯一方式。Progress Telerik 团队强烈建议升级至最新版本。”
管理员可通过如下方式检查自己的服务器是否易受这些攻击:
1、 进入 Report Server web UI 并通过具有管理员权限的账户登录
2、 打开配置页面 (~/Configuration/Index)
3、 选择“关于”标签,版本号会在右边的面板中显示
Progress 还为无法立即升级设备的用户提供了临时的缓解措施。Report Server Application Pool 用户可更改为权限有限的用户。无法创建 IIS 用户并分配 App Pool 程序的用户可参照 Progress 支持文档中的信息缓解该漏洞。
虽然 Progress 公司并未分享 CVE-2024-6327 是否已遭在野利用,但其它 Telerik 漏洞近年来已遭攻击。
例如,在2022年,美国一家联邦机构的微软互联网信息服务 (IIS) web 服务器遭 CVE-2019-18935漏洞利用攻击。CISA、FBI和MS-ISAC 发布联合公告指出,至少两个威胁组织(其中一个是越南的XE Group组织)攻陷了该易受攻击的服务器。在这次攻击活动中,威胁行动者部署了多个恶意软件 payload 并收集提取了信息,同时在2022年11月和2023年1月早些时候维护对受陷网络的访问权限。
近期,安全研究人员通过组合利用严重的认证绕过漏洞 (CVE-2024-4358)和高危 RCE 漏洞 (CVE-2024-1800) 开发并发布了针对 Telerik Report Server上 RCE 的 PoC。
速修复!Progress Telerik 中存在严重的认证绕过漏洞
https://www.bleepingcomputer.com/news/security/progress-warns-of-critical-rce-bug-in-telerik-report-server/
题图:Pexels License
本文由奇安信编译,不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。
奇安信代码卫士 (codesafe)
国内首个专注于软件开发安全的产品线。
觉得不错,就点个 “在看” 或 "赞” 吧~