严重的 ConnectWise ScreenConnect 漏洞已修复,尽快修补!

阅读量43797

发布时间 : 2024-02-21 11:49:18

ConnectWise 修复了 ScreenConnect 中的两个漏洞,这些漏洞可能允许攻击者执行远程代码或直接影响机密数据或关键系统。

该公司表示:“没有证据表明这些漏洞已被广泛利用,但内部合作伙伴必须立即采取行动,解决这些已识别的安全风险。”

关于 ConnectWise ScreenConnect
ConnectWise ScreenConnect(以前称为 ConnectWise Control,最近更改为原始名称)是一种远程桌面软件解决方案,深受托管服务提供商及其提供服务的企业以及帮助台团队的欢迎。

该产品作为云托管软件即服务提供,也可以由组织作为自托管服务器应用程序部署(在云中或本地)。当用户需要远程协助时,系统会指示他们通过访问 URL 并下载客户端软件来加入会话。

ConnectWise ScreenConnect 也是流行的技术支持诈骗者和其他网络犯罪分子,包括勒索软件团伙。

2022 年末,ConnectWise禁用了云托管服务试用帐户的自定义功能,以防止诈骗者创建品牌支持门户并诱骗员工加入恶意远程访问会话。

关于漏洞
这两个漏洞(目前没有 CVE 编号)影响 ScreenConnect 23.9.7 及更早版本,归类为:

  • 使用备用路径或通道绕过身份验证
  • 对受限制目录的路径名的不正确限制(“路径遍历”)

它们于 2024 年 2 月 13 日通过公司的漏洞披露渠道进行报告。

尽管目前没有证据表明这些漏洞已被利用,但 ConnectWise 表示,它们被利用的风险较高。

该公司表示:“自托管或本地部署的合作伙伴需要立即将其服务器更新到版本 23.9.8 以应用补丁。 ”

“ConnectWise 还将针对关键问题提供 22.4 至 23.9.7 版的更新版本,但强烈建议合作伙伴更新到 ScreenConnect 版本 23.9.8。”

本文转载自:

如若转载,请注明出处:

安全客 - 有思想的安全新媒体

分享到:微信
+14赞
收藏
安全客
分享到:微信

发表评论

内容需知
  • 投稿须知
  • 转载须知
  • 官网QQ群8:819797106
  • 官网QQ群3:830462644(已满)
  • 官网QQ群2:814450983(已满)
  • 官网QQ群1:702511263(已满)
合作单位
  • 安全客
  • 安全客
Copyright © 北京奇虎科技有限公司 360网络攻防实验室 安全客 All Rights Reserved 京ICP备08010314号-66