教育机构ANA通报平台
|
发布编号 |
TACERT-ANA-2024040110045353 |
发布时间 |
2024-03-29 10:46:53 |
|
事故类型 |
ANA-漏洞预警 |
发现时间 |
2024-04-01 10:46:53 |
|
影响等级 |
中 |
||
|
[主旨说明:]【漏洞预警】凯发科技WebITR差勤系统存在多个高风险安全漏洞(CVE-2023-48392至CVE-2023-48395)，请尽速确认并进行修补 |
|||
|
[内容说明:] 转发 国家资安资讯分享与分析中心 NISAC-200-202403-00000178 研究人员发现，凯发科技WebITR差勤系统存在多个高风险安全漏洞(CVE-2023-48392至CVE-2023-48395)，其中CVE-2023-48392与CVE-2023-48394之漏洞评分高达8.8分以上，且漏洞目前已遭骇客利用，请尽速确认并进行修补。 ● CVE-2023-48392：WebITR差勤系统使用固定加密金钥，远端攻击者可以自行产生合法Token参数，即可以任意使用者身分登入该系统，取得系统内资料与执行相关流程。 ● CVE-2023-48394：WebITR差勤系统之上传功能未对上传档案进行检查，并可上传档案至任意位置。远端攻击者透过一般使用者权限帐号登入系统后，即可上传任意档案，进而执行任意程式码或中断系统服务。 情资分享等级: WHITE(情资内容为可公开揭露之资讯) 烦请贵单位协助公告或转发 |
|||
|
[影响平台:] WebITR差勤系统2_1_0_19(含)以下版本 |
|||
|
[建议措施:] 官方已针对漏洞释出修复更新，请更新至以下版本： WebITR差勤系统2_1_0_23(含)以上版本 |
|||
|
[参考资料:] |
|||
|
(此通报仅在于告知相关资讯，并非为资安事件)，如果您对此通报的内容有疑问或有关于此事件的建议，欢迎与我们连络。 |
|
教育机构资安通报应变小组 |
