【漏洞通告】騎士CMS遠(yuǎn)程代碼執(zhí)行漏洞
- CNNVD編號(hào)：未知
- 危害等級(jí)： 高危
- CVE編號(hào)：未知
- 漏洞類型： 遠(yuǎn)程代碼執(zhí)行
- 威脅類型：遠(yuǎn)程
- 廠 商：未知
- 漏洞來(lái)源：未知
- 發(fā)布時(shí)間：2020-11-25
- 更新時(shí)間：2020-12-11
漏洞簡(jiǎn)介
騎士CMS是一項(xiàng)基于PHP+MYSQL為核心開發(fā)的一套免費(fèi) + 開源專業(yè)人才招聘系統(tǒng)。為個(gè)人求職和企業(yè)招聘提供信息化解決方案, 騎士人才系統(tǒng)具備執(zhí)行效率高、模板切換自由、后臺(tái)管理功能靈活、模塊功能強(qiáng)大等特點(diǎn)，自上線以來(lái)一直是職場(chǎng)人士、企業(yè)HR青睞的求職招聘平臺(tái)。經(jīng)過(guò)7年的發(fā)展，騎士人才系統(tǒng)已成國(guó)內(nèi)人才系統(tǒng)行業(yè)的排頭兵。系統(tǒng)應(yīng)用涉及政府、企業(yè)、科研教育和媒體等行業(yè)領(lǐng)域，用戶已覆蓋國(guó)內(nèi)所有省份和地區(qū)。2016年全新推出騎士人才系統(tǒng)基礎(chǔ)版，全新的“平臺(tái)+插件”體系，打造用戶“DIY”個(gè)性化功能定制，為眾多地方門戶、行業(yè)人才提供一個(gè)專業(yè)、穩(wěn)定、方便的網(wǎng)絡(luò)招聘管理平臺(tái)，致力發(fā)展成為引領(lǐng)市場(chǎng)風(fēng)向的優(yōu)質(zhì)高效的招聘軟件。
漏洞公示
近日，騎士CMS官方發(fā)布一則安全更新，修復(fù)了一處代碼執(zhí)行漏洞。該漏洞由一個(gè)上傳繞過(guò)+文件包含漏洞組合而成，最終可執(zhí)行任意代碼。攻擊者可在前臺(tái)注冊(cè)用戶后，通過(guò)構(gòu)造惡意請(qǐng)求，最終配合文件包含漏洞，實(shí)現(xiàn)代碼執(zhí)行，控制服務(wù)器。該漏洞攻擊代碼已經(jīng)公開，請(qǐng)受影響的用戶及時(shí)更新補(bǔ)丁或升級(jí)到不受影響版本。
參考網(wǎng)站
暫無(wú)
受影響實(shí)體
暫無(wú)
補(bǔ)丁
1 官方修復(fù)建議
1.建議受影響的客戶立即更新升級(jí)到最新版本(6.0.48）：http://www.74cms.com/
2. 二次開發(fā)過(guò)或其他原因無(wú)法直接升級(jí)的站點(diǎn)請(qǐng)按以下教程按照指引手動(dòng)升級(jí)：http://www.74cms.com/news/show-2497.html
2 深信服解決方案
【深信服下一代防火墻】可輕松防御此漏洞， 建議部署深信服下一代防火墻的用戶更新至最新的安全防護(hù)規(guī)則，可輕松抵御此高危風(fēng)險(xiǎn)。
【深信服云盾】已第一時(shí)間從云端自動(dòng)更新防護(hù)規(guī)則，云盾用戶無(wú)需操作，即可輕松、快速防御此高危風(fēng)險(xiǎn)。
【深信服安全感知平臺(tái)】可檢測(cè)利用該漏洞的攻擊，實(shí)時(shí)告警，并可聯(lián)動(dòng)【深信服下一代防火墻等產(chǎn)品】實(shí)現(xiàn)對(duì)攻擊者ip的封堵。
