中華資安國際發現CVE弱點，國內某差勤系統具有多項漏洞

【影響範圍】

• 差勤系統7.3.2020.1110 之前的版本

【細節描述】

中華資安國際Red Team團隊發現，國內某差勤系統具有多項漏洞(CVE-2021-22853、CVE-2021-22854、CVE-2021-22855)，包括不安全的存取控制、SQL Injection與遠端程式碼執行(RCE)弱點，影響範圍包含部分國內中小企業。
CVE-2021-22853：攻擊者取得使用者識別碼資訊後，可透過特定封包存取部分機敏資訊，如使用者登入資訊，進而導致登入功能無法正常使用，此漏洞可歸類於OWASP TOP 10 2017之A5 – Broken Access Control類型中。
CVE-2021-22854：攻擊者可在不經過任何身分認證情況下，透過參數注入未經授權的SQL語法，取得資料庫的所有資料，此漏洞可歸類於OWASP TOP 10 2017之A1 – Injection類型中。
CVE-2021-22855：攻擊者可在不經過任何身分認證情況下，傳送惡意的序列化物件執行任意指令，此漏洞可歸類於OWASP TOP 10 2017之A8 – Insecure Deserialization類型中。

【建議措施】

請參考原廠說明，更新至以下版本:
差勤系統7.3.2020.1110 (含)之後的版本
中華資安國際建議採取以下防範措施：
使用者：聯繫廠商盡速安裝修補更新檔。
系統開發商：在程式開發過程中應針對輸入參數做檢查。
系統開發商：建議導入安全程式開發流程（SSDLC）、事前進行安全程式碼開發教育訓練，並定期執行源碼檢測及滲透測試等安全檢測，才能有效地確保產品及用戶安全。