【资讯处-转知】(ANA事件单通知)【漏洞预警】骅钜数码Easy Test 存在漏洞CVE-2022-43436、CVE-2022-43437、CVE-2022-43438

发布编号：TACERT-ANA-2023010402013232、TACERT-ANA-2023010402015353、TACERT-ANA-2023010402010505

发布时间：2023-01-04 14:37:33

事故类型：ANA-漏洞预警

发现时间：2023-01-03 16:39:44

影响等级：低

 

[主旨说明:]

【漏洞预警】骅钜数码Easy Test 存在漏洞(CVE-2022-43436)、(CVE-2022-43437)、(CVE-2022-43438)

 

[内容说明:]

 

台湾电脑网络危机处理暨协调中心 TWCERTCC-ANA-202301-0004

骅钜数码Easy Test 存在漏洞(CVE-2022-43436)，档案上传功能未过滤特殊字符与验证档案类型，远端攻击者以一般使用者权限登入后，即可上传并执行任意类型的档案，对系统进行任意操作或中断服务。

------------------------

台湾电脑网络危机处理暨协调中心 TWCERTCC-ANA-202301-0003

骅钜数码Easy Test之下载功能参数未对使用者输入进行验证，远端攻击者以一般使用者权限登入后，即可注入任意SQL语法读取、修改及删除数据库。

------------------------

台湾电脑网络危机处理暨协调中心 TWCERTCC-ANA-202301-0002

骅钜数码Easy Test管理员功能含有Incorrect Authorization漏洞CVE-2022-43438，远端攻击者以一般使用者权限登入后，即可透过此漏洞绕过权限验证，存取API功能，任意操作系统并终止服务。

------------------------

 

[影响平台:]

受影响版本如下：

● 骅钜数码Easy Test ver.22H29

● 骅钜数码 Easy Test ver17L18S

● 骅钜数码 Easy Test ver.17L18S~ver.22H29

 

[建议措施:]

更新Easy Test版本至v.22I26

 

[参考资料:]

1. 骅钜数码Easy Test - Arbitrary File Upload

2. 骅钜数码 Easy Test - SQL Injection

3. 骅钜数码 Easy Test - Incorrect Authorization

(此通报仅在于告知相关资讯，并非为资安事件)，如果您对此通报的内容有疑问或有关于此事件的建议，欢迎与我们连络。

教育机构资安通报应变小组

网址：https://info.cert.tanet.edu.tw/

专线电话：07-5250211

网络电话：98400000

E-Mail：service@cert.tanet.edu.tw

编辑