ce安全网绿色资源分享

教程资讯|常用软件|安卓下载|下载排行|最近更新

软件
软件
文章
当前位置:首页网络安全网络安全新闻 → CyberArk企业密码保险库曝高危漏洞 允许攻击者远程执行恶意代码 CVE-2018-9843

CyberArk企业密码保险库曝高危漏洞 允许攻击者远程执行恶意代码 CVE-2018-9843

时间:2018-04-11 00:00:00人气:作者:本站作者我要评论

CyberArk企业密码保险库曝高危漏洞 允许攻击者远程执行恶意代码 CVE-2018-9843

德国网络安全公司RedTeam Pentesting GmbH的安全研究人员最近在CyberArk企业密码保险库(Enterprise Password Vault,EPV)应用程序中发现了一个严重的远程代码执行漏洞,该漏洞可能允许攻击者利用CyberArk EPV 的WEB访问应用(Password Vault Web Access,PVWA)组件的特权来对目标系统进行未经授权的访问。

CyberArk EPV可帮助各类机构保护、管理、自动更改各种特权密码并记录与之相关的活动。如Windows服务器的管理员密码、UNIX服务器的根密码、Cisco设备的启用密码,以及应用程序及文本中的内置密码等等。它主要包含了四大组件:

  • 密码保险库(Vault)-这是一个为企业特权帐号密码提供安全的集中存储、保护和管理访问的仓库;
  • CPM- CPM为多种目标系统的特权帐号密码提供更新,包括各种路由器、数据库、服务器、目录服务和固话于应用程序中的密码;
  • Windows GUI客户端-此客户端允许管理员访问和配置EPV系统,包括设置用户信息,定义系统访问等等;
  • Password Vault Web Access(PVWA)-这个基于Web的界面允许IT人员能够快速地获取目标系统的特权账号密码。

研究人员表示,被追踪为CVE-2018-9843的漏洞就存在于PVWA中。它是由于Web服务器不安全地处理反序列化操作的方式造成的,这可能允许攻击者在处理反序列化数据的服务器上执行恶意代码。

据研究人员介绍,当用户登录到自己的账户时,PVWA会使用REST API向服务器发送一个身份验证请求,请求授权头包含有一个以序列化.的NET对象(以base64编码)。而这个序列化的.NET对象保存了关于用户会话的信息,但他们发现“序列化数据的完整性并没有得到保护”。

由于服务器并不会验证序列化数据的完整性,并且不安全地处理反序列化操作,这使得攻击者能够篡改身份验证令牌,将其恶意代码注入到授权头中,以此获取到能够在未经身份认证的情况下在Web服务器上远程执行任意代码的能力。

目前,RedTeam Pentesting GmbH的研究人员已经将一段完整的概念验证代码发布在了GitHub上,并将这个项目命名为“ysoserial.net”,它被描述为“用于生成能够利用不安全的.NET对象反序列化的有效载荷的概念验证工具。”

至于有关于漏洞和利用代码的技术细节,研究人员表示,他们会在向CyberArk报告漏洞并且该公司推出修复版本之后才会发布。

根据研究人员的描述,这个漏洞影响到9.9.5和9.10之前的版本以及10.1版本。因此,研究人员强烈建议使用CyberArk PVWA的企业将其软件升级到版本9.9.5、9.10或10.2。

另外,如果用户由于某些原因暂时无法立即升级软件,则可以通过禁用任何对route/PasswordVault/WebServices上API的访问来做为针对此漏洞的缓解措施。

相关文章

猜你喜欢

  • Ougishi绿色版下载 V4.00 中文版

    2020-06-19 / 561k

  • 谷歌地图下载助手睿智版破解下载 V9.5绿色版

    2020-06-19 / 32.7M

  • OfficeFIX中文破解版V6.110 注册版

    2020-06-19 / 26.8M

  • Plotagraph破解版V1.2.0 免费版 32/64位

    2020-06-19 / 31.5M

  • IP查详细地址工具下载 V1.1 官方免费版

    2020-06-19 / 408K

  • 内存扫把中文版下载V1.97绿色版

    2020-06-19 / 1.3M

网友评论

验证码:

请自觉遵守互联网相关政策法规,评论内容只代表网友观点,与本站立场无关!

最新评论

已有人参与,点击查看更多精彩评论

关于CE安全网 | 联系方式 | 发展历程 | 版权声明 | 下载帮助(?) | 广告联系 | 网站地图 | 友情链接

Copyright 2019-2029 cesafe.com 【CE安全网】 版权所有 蜀ICP备19039426号-2| 蜀ICP备19039426号-2

声明: 本站为非赢利性网站 不接受任何赞助和广告 所有软件和文章来自互联网 如有异议 请与本站联系 技术支持:ce安全网