【漏洞预警】SysAid On-premise 代码执行漏洞(CVE-2023-47246)

SysAid On-premise 存在目录遍历漏洞，未经身份验证的攻击者可以利用该漏洞上传webshell到服务器上，成功利用该漏洞可以在目标系统执行任意代码。

该问题被跟踪为 CVE-2023-47246，涉及路径遍历缺陷，该缺陷可能导致在本地安装中执行代码。它已由 SysAid 在软件的 23.3.36 版中修补。

“在利用该漏洞后，Lace Tempest通过SysAid软件发出命令，为Gracewire恶意软件提供恶意软件加载程序，”Microsoft说。“这通常伴随着人为操作的活动，包括横向移动、数据盗窃和勒索软件部署。”

根据 SysAid 的说法，已观察到威胁行为者将包含 Web shell 和其他有效负载的 WAR 存档上传到 SysAid Tomcat Web 服务的 webroot 中。

Web Shell 除了为威胁参与者提供对受感染主机的后门访问权限外，还用于提供 PowerShell 脚本，该脚本旨在执行加载程序，进而加载 Gracewire。

攻击者还部署了第二个 PowerShell 脚本，用于在部署恶意负载后擦除利用证据。

此外，攻击链的特点是使用 MeshCentral 代理和 PowerShell 下载并运行 Cobalt Strike，这是一个合法的利用后框架。

强烈建议使用 SysAid 的组织尽快应用补丁以阻止潜在的勒索软件攻击，并在修补之前扫描其环境中是否有利用迹象。