中華資安國際發現CVE弱點,國內某入口網資訊系統具有多項漏洞

風險等級: 高度威脅
摘 要: 【弱點說明】事件通告:中華資安國際發現CVE弱點,國內某入口網資訊系統具有多項漏洞

【影響範圍】

  • CVE-2021-22851: OAKSv20 OAKlouds-document_v3
    2.0<2.0-54、OAKSv30 OAKlouds-document_v3 3.0<3.0-54
  • CVE-2021-22852: OAKSv30 OAKlouds-mol_course_v3 3.0 3.0-124~ 3.0-146、OAKSv20 OAKlouds-mol_course_v3 2.0 2.0-124 ~ 2.0-146

【細節描述】

中華資安國際Red Team團隊發現,國內某入口網資訊系統具有多項漏洞(CVE-2021-22850、CVE-2021-22851、CVE-2021-22852),包括SQL Injection、權限跨越,影響範圍包含國內部分政府機關以及企業機構。
1. CVE-2021-22850:HGiga OAKlouds行動入口網存有不安全的頁面,使攻擊者在未經授權下,存取或執行未經授權的功能。此漏洞可歸類於OWASP TOP 10 2017之A6 – Security Misconfiguration類型中。
2. CVE-2021-22851、CVE-2021-22852:HGiga OAKlouds行動入口網產品存有SQL Injection漏洞,攻擊者可於特定URL的參數注入SQL指令,取得資料庫結構或資料,此漏洞可歸類於OWASP TOP 10 2017之A1- Injection類型中。
開發廠商接獲通報後已配合儘速釋出相關更新,若機關或企業有使用此校務資訊系統,建議儘快聯繫廠商進行修補更新。

【建議措施】

中華資安國際建議採取以下防範措施:
1. 使用者:聯繫廠商盡速安裝修補更新檔。
2. 系統開發商:在程式開發過程中應針對輸入參數做檢查。
3.系統開發商:建議導入安全程式開發流程(SSDLC)、事前進行安全程式碼開發教育訓練,並定期執行源碼檢測及滲透測試等安全檢測,才能有效地確保產品及用戶安全。

參考資訊: CVE-2021-22850
CVE-2021-22851
CVE-2021-22852