【已发现在野攻击】Rejetto HTTP File Server 模板注入漏洞(CVE-2024-23692)安全风险通告

admin 2024年7月9日07:56:15评论15 views字数 1115阅读3分43秒阅读模式

● 点击↑蓝字关注我们,获取更多安全风险通告

漏洞概述
漏洞名称 Rejetto HTTP File Server 模板注入漏洞
漏洞编号 QVD-2024-21305,CVE-2024-23692
公开时间 2024-06-06 影响量级 十万级
奇安信评级 高危 CVSS 3.1分数 9.8
威胁类型 代码执行 利用可能性
POC状态 已公开 在野利用状态 已发现
EXP状态 已公开 技术细节状态 已公开
危害描述:未经身份验证的攻击者通过发送特制的 HTTP 请求在受影响的系统上执行任意命令。
01
漏洞详情
>>>>
影响组件

HFS(HTTP File Server)是一个简单易用的文件服务器软件,用户可以通过直观的 web 界面来管理文件和目录的共享。

>>>>
漏洞描述

近日,奇安信CERT监测到Rejetto HTTP File Server 模板注入漏洞(CVE-2024-23692),由于该系统存在模板注入漏洞,未经身份验证的攻击者通过发送特制的 HTTP 请求在受影响的系统上执行任意命令。目前该漏洞已发现在野利用,鉴于该漏洞EXP已广泛传播,利用成本极低,请您立即着手修复,以避免潜在风险。

02
影响范围
>>>>
影响版本

HTTP File Server 2.X版本

>>>>
其他受影响组件

03
复现情况
目前,奇安信威胁情报中心安全研究员已成功复现Rejetto HTTP File Server 模板注入漏洞(CVE-2024-23692),截图如下:

【已发现在野攻击】Rejetto HTTP File Server 模板注入漏洞(CVE-2024-23692)安全风险通告

04
受影响资产情况
奇安信鹰图资产测绘平台数据显示,Rejetto HTTP File Server 模板注入漏洞(CVE-2024-23692)关联的国内风险资产总数为84919个,关联IP总数为13059个。国内风险资产分布情况如下:

【已发现在野攻击】Rejetto HTTP File Server 模板注入漏洞(CVE-2024-23692)安全风险通告

Rejetto HTTP File Server 模板注入漏洞(CVE-2024-23692)关联的全球风险资产总数为203028个,关联IP总数为25191个。全球风险资产分布情况如下:

【已发现在野攻击】Rejetto HTTP File Server 模板注入漏洞(CVE-2024-23692)安全风险通告

05
处置建议
>>>>
安全更新

目前官方已不再维护HFS 2.x版本,建议客户升级至HFS 3.x版本:

官方最新版本下载地址:

https://github.com/rejetto/hfs/releases

06
参考资料
[1]https://mohemiv.com/all/rejetto-http-file-server-2-3m-unauthenticated-rce/

[2]https://github.com/rejetto/hfs2

07
时间线
2024年7月8日,奇安信 CERT发布安全风险通告。

原文始发于微信公众号(奇安信 CERT):【已发现在野攻击】Rejetto HTTP File Server 模板注入漏洞(CVE-2024-23692)安全风险通告

 

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2024年7月9日07:56:15
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   【已发现在野攻击】Rejetto HTTP File Server 模板注入漏洞(CVE-2024-23692)安全风险通告http://cn-sec.com/archives/2932307.html

发表评论

匿名网友 填写信息