搜索

[1638] 2019-11-18_关于云存储应用存在越权访问和文件上传漏洞的安全公告

文档创建者：s7ckTeam
浏览次数：78
最后更新：2025-01-16
2019-11-18_关于云存储应用存在越权访问和文件上传漏洞的安全公告 关 于 云 存 储 应 用 存 在 越 权 访 问 和 文 件 上 传 漏 洞 的 安 全 公 告 原 创   C N V D   C N V D 漏 洞 平 台   2 0 1 9 - 1 1 - 1 8 安 全 公 告 编 号 安 全 公 告 编 号 : C N T A - 2 0 1 9 - 0 0 3 8 2 0 1 9 年 1 0 月 2 8 日 ， 国 家 信 息 安 全 漏 洞 共 享 平 台 （ C N V D ） 收 录 了 由 腾 讯 安 全 玄 武 实 验 室 发 现 并 报 送 的 云 存 储 应 用 越 权 访 问 和 文 件 上 传 漏 洞 （ C N V D - 2 0 1 9 - 3 7 3 6 4 ） 。 攻 击 者 利 用 该 漏 洞 ， 可 在 越 权 的 情 况 下 ， 远 程 读 取 、 修 改 云 存 储 中 的 内 容 。 目 前 ， 漏 洞 相 关 细 节 未 公 开 ， 漏 洞 影 响 范 围 和 危 害 较 大 。 一 、 漏 洞 情 况 分 析 一 、 漏 洞 情 况 分 析 云 存 储 是 云 计 算 基 础 上 延 伸 和 衍 生 发 展 出 来 的 新 概 念 ， 综 合 采 用 分 布 式 处 理 、 并 行 处 理 和 网 格 计 算 等 手 段 ， 将 网 络 中 不 同 类 型 的 存 储 设 备 通 过 应 用 软 件 集 合 起 来 协 同 工 作 ， 对 外 提 供 统 一 的 数 据 存 储 和 业 务 访 问 功 能 。 云 存 储 在 移 动 A P P 、 网 页 版 程 序 、 A P P 小 程 序 （ 以 下 简 称 云 存 储 应 用 ） 等 场 景 得 到 了 广 泛 应 用 。 用 户 访 问 云 存 储 数 据 时 ， 进 行 签 名 请 求 的 密 钥 有 永 久 密 钥 和 临 时 密 钥 两 种 方 式 。 腾 讯 安 全 玄 武 实 验 室 研 究 发 现 云 存 储 应 用 由 于 配 置 不 当 ， 存 在 越 权 访 问 和 文 件 上 传 漏 洞 ： 使 用 临 时 密 钥 进 行 文 件 上 传 的 云 存 储 应 用 ， 缺 乏 对 文 件 （ 存 储 桶 ） 访 问 或 上 传 路 径 （ 存 储 桶 ） 的 权 限 限 制 ， 导 致 文 件 （ 存 储 桶 ） 越 权 访 问 或 文 件 上 传 漏 洞 ； 使 用 永 久 密 钥 为 文 件 上 传 请 求 签 名 的 云 存 储 应 用 ， 缺 乏 对 永 久 密 钥 的 必 要 保 护 ， 产 生 任 意 路 径 文 件 （ 存 储 桶 ） 的 越 权 访 问 和 文 件 上 传 漏 洞 。 攻 击 者 利 用 上 述 漏 洞 ， 通 过 云 存 储 应 用 破 解 或 网 络 抓 包 获 得 永 久 密 钥 或 临 时 密 钥 ， 实 现 对 云 存 储 中 的 文 件 数 据 的 窃 取 ， 甚 至 篡 改 用 户 保 存 在 云 存 储 中 的 数 据 文 件 。 C N V D 对 该 漏 洞 的 综 合 评 级 为 “ 高 危 ” 。 二 、 漏 洞 影 响 范 围 二 、 漏 洞 影 响 范 围 漏 洞 影 响 情 况 如 下 ： 腾 讯 安 全 玄 武 实 验 室 阿 图 因 系 统 分 析 结 果 显 示 ， 使 用 国 内 主 流 厂 商 云 存 储 服 务 的 安 卓 A P P 数 量 为 4 1 4 8 个 。 抽 样 检 测 结 果 显 示 ， 受 此 漏 洞 影 响 的 应 用 比 例 达 7 0 % 。 C N V D 平 台 已 于 1 0 月 2 8 日 完 成 对 上 述 受 影 响 A P P 的 云 服 务 厂 商 通 报 工 作 。 三 、 漏 洞 处 置 建 议 三 、 漏 洞 处 置 建 议 C N V D 建 议 云 存 储 应 用 开 发 者 采 用 如 下 方 式 修 复 漏 洞 ： 1 、 采 用 临 时 签 名 上 传 文 件 的 云 存 储 应 用 ： 根 据 业 务 场 景 将 服 务 端 生 成 的 临 时 密 钥 权 限 更 新 至 最 小 ， 限 定 文 件 的 上 传 路 径 和 上 传 的 目 标 存 储 桶 ， 去 除 读 文 件 、 列 存 储 桶 、 列 对 象 、 覆 盖 文 件 等 非 业 务 必 要 权 限 。 2 、 采 用 永 久 密 钥 签 名 上 传 文 件 的 云 存 储 应 用 ： 更 新 客 户 端 和 服 务 端 上 传 逻 辑 ， 改 为 用 最 小 权 限 的 临 时 密 钥 方 式 或 者   P U T   方 式 进 行 上 传 。 C N V D 建 议 云 存 储 服 务 提 供 商 一 方 面 进 行 漏 洞 排 查 ， 通 知 云 存 储 用 户 自 查 和 修 复 ， 并 提 供 必 要 的 技 术 支 持 ； 另 一 方 面 完 善 云 存 储 的 使 用 说 明 文 档 ， 提 醒 云 存 储 用 户 错 误 配 置 可 能 导 致 的 安 全 问 题 ， 并 针 对 常 用 场 景 给 出 配 置 策 略 建 议 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理