搜索

[28144] 2020-02-09_TELERIKUIFORASP.NET中的任意代码执行漏洞

文档创建者：s7ckTeam
浏览次数：245
最后更新：2025-01-19
2020-02-09_TELERIKUIFORASP.NET中的任意代码执行漏洞 T E L E R I K   U I   F O R   A S P . N E T 中 的 任 意 代 码 执 行 漏 洞 O t s 安 全   2 0 2 0 - 0 2 - 0 9 T e l e r i k   U I   f o r   A S P . N E T 的 开 发 人 员 （ 动 态 网 站 W e b 开 发 的 开 源 应 用 程 序 框 架 ） 的 开 发 人 员 收 到 了 一 份 漏 洞 报 告 ， 该 漏 洞 一 旦 被 利 用 ， 将 允 许 攻 击 者 执 行 任 意 代 码 。 该 漏 洞 是 由 一 家 信 息 安 全 公 司 报 告 的 ， 该 公 司 的 名 称 尚 未 披 露 。 如 前 一 段 所 述 ， 该 漏 洞 允 许 任 意 代 码 在 高 特 权 进 程 的 上 下 文 中 运 行 。 根 据 与 应 用 程 序 相 关 的 特 权 ， 威 胁 行 动 者 可 能 会 部 署 恶 意 活 动 ， 例 如 安 装 程 序 ， 访 问 和 修 改 数 据 ， 甚 至 创 建 完 全 特 权 的 用 户 帐 户 。 应 该 注 意 的 是 ， 如 果 为 应 用 程 序 配 置 了 减 少 的 特 权 ， 则 此 漏 洞 的 实 际 影 响 可 能 会 大 大 降 低 。 在 该 报 告 中 ， 匿 名 信 息 安 全 公 司 提 到 该 漏 洞 是 由 于 使 用 R a d A s y n c U p l o a d 的 . N E T   J a v a S c r i p t S e r i a l i z e r 的 反 序 列 化 问 题 而 存 在 的 ， 该 问 题 可 被 利 用 来 导 致 服 务 器 上 任 意 代 码 的 执 行 ， 所 有 这 些 都 在 w 3 w p 的 情 况 下 进 行 。 . e x e 进 程 。 该 漏 洞 会 影 响 适 用 于 v 2 0 2 0 . 1 . 1 1 4 之 前 的 A S P . N E T   A J A X 版 本 的 所 有 P r o g r e s s   T e l e r i k   U I 系 统 。 风 险 主 要 存 在 于 大 型 公 司 和 政 府 组 织 的 环 境 中 。 在 中 小 型 公 司 以 及 家 庭 环 境 中 ， 剥 削 的 可 能 性 降 低 了 。 开 发 人 员 在 收 到 信 息 安 全 公 司 的 报 告 后 即 确 认 并 解 决 了 该 漏 洞 。 根 据 国 际 网 络 安 全 研 究 所 （ I I C S ） 的 建 议 ， 防 止 利 用 风 险 的 主 要 建 议 包 括 ： 分 析 易 受 攻 击 的 系 统 并 立 即 安 装 T e l e r i k 发 布 的 安 全 补 丁 验 证 使 用 T e l e r i k 用 户 界 面 的 其 他 W e b 应 用 程 序 也 已 更 新 为 最 新 版 本 以 非 特 权 用 户 身 份 运 行 所 有 软 件 （ 无 管 理 权 限 ） ， 以 减 小 潜 在 成 功 攻 击 的 范 围 在 使 用 中 的 所 有 系 统 和 服 务 上 启 用 最 低 特 权 原 则 还 提 醒 T e l e r i k 部 署 管 理 员 ， 没 有 针 对 此 漏 洞 的 解 决 方 法 ， 因 此 建 议 安 装 正 式 补 丁 。

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理