正方CA统一认证中心任意文件上传漏洞

来源:scanv2020.08.04

一 漏洞概述

正方软件公司开发的正方CA统一认证中心存在文件上传漏洞,该漏洞等级为高危。

正方CA统一认证中心存在文件上传漏洞,允许未经身份验证的远程攻击者进行任意文件上传,权限为ROOT权限。该漏洞是由于某个接口可以进行未授权任意文件上传所致。攻击者可以通过发送一个特制HTTP请求到某个页面来利用此漏洞。成功的利用可能使攻击者以最高权限控制服务器。

正方统一身份认证服务系统(ZFIAM)目的为建立统一的用户管理、身份配给和身份认证体系,实现全部应用的单点登录,实现用户身份和权限的动态同步,加强信息安全预警和审计,提高系统可用性、安全性和用户使用的方便性。

二 影响版本

正方CA统一身份认证中心

三 复现过程

四 修复建议

1.建议受影响的用户联系厂商获取漏洞最新状态与补丁更新。

参考链接:http://www.zfsoft.com/

2.临时修复建议

将正方CA统一认证中心放到内网并设置IP白名单访问。

五 时间线

知道创宇发布漏洞情报时间:2020年8月4日

热门文章

关注知道创宇云安全

获取安全动态