针对面向公众服务器的 ProjectSend 存在严重漏洞,正被积极利用

阅读量39548

发布时间 : 2024-11-28 15:14:13

x
译文声明

本文是翻译文章,文章原作者 Ravie Lakshmanan,文章来源:TheHackersNews

原文地址:https://thehackernews.com/2024/11/critical-flaw-in-projectsend-under.html

译文仅供参考,具体内容表达以及含义原文为准。

根据VulnCheck的调查结果,一个影响ProjectSend开源文件共享应用程序的关键安全漏洞很可能已被恶意利用。

该漏洞最初是在一年半前作为 2023 年 5 月推送的提交的一部分修补的,直到 2024 年 8 月发布 r1720 版本后才正式可用。截至 2024 年 11 月 26 日,该漏洞已被指定为 CVE 标识符 CVE-2024-11680(CVSS 得分:9.8)。

Synacktiv 于 2023 年 1 月向项目维护者报告了该漏洞,并将其描述为一个不当的授权检查,允许攻击者在易受影响的服务器上执行恶意代码。

该公司在 2024 年 7 月发布的一份报告中说:“在 ProjectSend r1605 版本中发现了一个不适当的授权检查,允许攻击者执行敏感操作,如启用用户注册和自动验证,或在上传文件允许扩展名的白名单中添加新条目。”

“最终,这允许在托管应用程序的服务器上执行任意 PHP 代码。”

VulnCheck 说,它观察到未知威胁行为者利用 Project Discovery 和 Rapid7 发布的漏洞利用代码,以面向公众的 ProjectSend 服务器为目标。据信,这些利用尝试始于 2024 年 9 月。

还发现这些攻击启用了用户注册功能,以获得认证后权限进行后续利用,这表明它们并不局限于扫描易受攻击的实例。

VulnCheck的Jacob Baines说:“我们很可能已经进入了‘攻击者安装网络外壳’的领域(从技术上讲,该漏洞也允许攻击者嵌入恶意JavaScript,这可能是一个有趣的、不同的攻击场景)。”

“如果攻击者上传了网络外壳,就可以在网络根目录下的 upload/files/ 中找到它。”

对大约 4000 台暴露在互联网上的 ProjectSend 服务器进行的分析表明,其中仅有 1%的服务器使用的是已打补丁的版本(r1750),其余所有实例运行的要么是未命名的版本,要么是 2022 年 10 月发布的 r1605 版本。

鉴于该漏洞似乎被广泛利用,建议用户尽快应用最新的补丁程序,以减轻主动威胁。

本文翻译自TheHackersNews 原文链接。如若转载请注明出处。
分享到:微信
+11赞
收藏
安全客
分享到:微信

发表评论

内容需知
合作单位
  • 安全客
  • 安全客
Copyright © 北京奇虎科技有限公司 三六零数字安全科技集团有限公司 安全客 All Rights Reserved 京ICP备08010314号-66