禅道开源版文件上传漏洞风险通告,腾讯主机安全(云镜)支持检测

2020-10-26 11:39:02
禅道官网发布了12.4.3版本更新公告,修复了一个文件上传的漏洞。恶意攻击者可以读取或上传任意敏感文件,成功利用漏洞可获得目标系统敏感文件及系统管理权限。

漏洞描述:

禅道官网发布了12.4.3版本更新公告,修复了一个文件上传的漏洞。恶意攻击者(需要登陆后台的任意用户)可以通过fopen/fread/fwrite方法结合file、http、ftp等协议,读取或上传任意敏感文件,成功利用漏洞可获得目标系统中敏感文件及系统管理权限。

 

腾讯安全专家建议受影响的用户尽快升级到安全版本,目前有关该漏洞的技术细节尚未公开。

 

ZenTaoPMS(ZenTao Project Management System),集产品管理、项目管理、测试管理于一身,同时包含事务管理、组织管理等诸多功能,是中小型企业项目管理工具。ZenTaoPMS基于自主研发的PHP开发框架——禅道PHP框架开发而成。通过这套框架,企业或者第三方的开发者可以非常方便、灵活的对禅道进行功能的修改或者扩展。ZenTaoPMS基于LGPL协议,企业或者个人都可以免费获取禅道项目管理软件的源代码并安装使用,并可以结合自己的实际需要进行修改。

 

漏洞编号:

CNVD-C-2020-121325


漏洞等级:高危

 

受影响的版本:

禅道开源版禅道开源版11.5.1 <= version <= 12.4.2

 

安全版本:

禅道12.4.3


下载地址:

https://www.zentao.net/download/zentaopms12.4.3-80272.html


腾讯安全网络空间测绘:

腾讯安全网络空间测绘结果显示,神道项目管理软件主要是中国大陆用户在使用(占比超过96%),浙江、广东、北京、上海四省市用户超过70%。

腾讯安全网络空间测绘平台通过空间测绘技术,可针对该类漏洞进行监测与响应,如有需要可联系 es@tencent.com 了解产品详情。


漏洞验证:

腾讯安全专家对该漏洞进行验证重现,验证结果表明攻击者利用漏洞可以执行任意代码,获取服务器信息。


攻击者访问精心构造的恶意URL:


访问之后在服务器上写入木马文件,执行任意代码(此处为写入phpinfo())

腾讯安全解决方案:

腾讯T-Sec主机安全(云镜)漏洞库日期2020-10-26之后的版本,已支持对禅道开源版文件上传漏洞(CNVD-C-2020-121325)进行检测。

关于腾讯T-Sec主机安全(云镜)的更多信息,可参考官网:https://cloud.tencent.com/product/cwp



参考链接:

https://www.zentao.net/download/zentaopms12.4.3-80272.html

最新资讯