zzzcms zzzphp parserIfLabel模板注入远程执行代码漏洞风险通告,腾讯安全全面检测

2021-05-12 10:23:17
zzzcms zzzphp parserIfLabel模板注入存在远程执行代码漏洞,攻击者无须身份验证即可利用此漏洞,漏洞POC已公开,黑客利用可能很快出现,腾讯安全专家建议受影响的用户尽快升级修复。

zzzcms zzzphp parserIfLabel模板注入存在远程执行代码漏洞,攻击者无须身份验证即可利用此漏洞,漏洞POC已公开,黑客利用可能很快出现,腾讯安全专家建议受影响的用户尽快升级修复。

 

漏洞详情:

此漏洞使远程攻击者可以在受影响的zzzphp安装上执行任意代码。利用此漏洞不需要身份验证。

 

特定缺陷存在于搜索模板的处理中。此问题是由于在处理搜索模板时缺乏对用户提供的键的正确验证而导致的。攻击者可以利用此漏洞在Web服务器的上下文中执行代码。

 

目前,该漏洞的POC代码(概念验证代码)已公开,意味着攻击者可能很快根据已知POC尝试进行漏洞利用。暂无公开的在野利用报告。


zzzcms是采用asp语言开发的一套互联网商务建站系统。 


漏洞编号:

CVE-2021-32605

 

漏洞等级:

高危,CVSS评分9.8

 

受影响的软件:

zzzphp <= 2.0.3


安全版本:

zzzphp 2.0.4正式版

 

漏洞复现与验证:

腾讯安全专家已复现该漏洞

漏洞修复:

zzzcms已发布更新以纠正此漏洞。可以在以下位置找到更多详细信息:http://www.zzzcms.com/a/news/31_282_1.html

 

腾讯安全解决方案:

1.腾讯T-Sec安全漏洞扫描服务已支持对zzzcms zzzphp parserIfLabel模板注入远程代码执行漏洞进行检测。


2.腾讯T-Sec云防火墙已支持防御阻断利用zzzcms zzzphp parserIfLabel模板注入远程代码执行漏洞的攻击。


3.腾讯T-Sec高级威胁检测系统(NTA,御界)已支持检测利用zzzcms zzzphp parserIfLabel模板注入远程代码执行漏洞的攻击活动。


4.腾讯T-Sec web应用防火墙(WAF)已支持检测防护zzzcms zzzphp parserIfLabel模板注入远程代码执行漏洞攻击。


参考链接:

https://srcincite.io/advisories/src-2021-0015/


扫描以下二维码关注“腾讯安全威胁情报中心”公众号,掌握最新的网络安全威胁情报。



最新资讯