背景描述
宝塔面板是一款服务器管理软件，支持Windows和Linux系统，可以通过Web端轻松管理服务器，提升运维效率。
2020年8月23日，宝塔面板官方发布了服务器运维面板的紧急安全更新，修复了一处高危漏洞，该漏洞与未授权访问有关，尚未分配漏洞编号。
由于漏洞威胁等级严重，影响面广泛，迪普科技建议用户及时修补，做好相关防护措施。
严重等级
高危
影响范围
宝塔面板Linux版本 7.4.2
宝塔面板Linux测试 7.5.14
宝塔面板Windows 6.8
漏洞详情
宝塔面板存在数据库未授权访问的漏洞，受影响版本的宝塔面板在部署phpadmin时，直接部署在http://ip:888/pma/路径下，远程攻击者可以无需验证用户名密码直接访问到phpmyadmin数据库管理页面。攻击者可以利用该漏洞读取数据库的敏感数据，甚至获得目标主机的系统权限。
解决方案
■ 官方解决方案
1、安装官方补丁：
https://www.bt.cn/bbs/thread-54644-1-1.html
■ 迪普科技解决方案
迪普科技安全研究院在首次监测到宝塔面板数据库管理未授权访问漏洞后，就迅速采取了应急措施。
1）使用迪普科技“慧眼安全检测平台”检测现网环境中是否存在宝塔面板数据库管理未授权访问漏洞。
2）使用迪普科技“态势感知大数据平台”检测现网环境中是否存在宝塔面板数据库管理未授权访问漏洞攻击行为。
3）迪普科技安全服务团队可协助客户完成现网安全风险评估，针对网络安全入侵事件，提供快速应急响应支撑服务以及专业的安全建设建议。
4）DPtech IPS2000、FW1000、WAF3000将在以下特征库版本中对宝塔面板数据库管理未授权访问漏洞进行有效防护：
◆产品系列：IPS2000、FW1000
◆漏洞库版本：IPS-R2.1.328、IPS-R3.1.162
◆产品系列：WAF3000
◆漏洞库版本：WAF-R2.1.96、WAF-R3.1.96
5）迪普科技官网特征库下载地址：http://www.dptech.com/index.php?m=content&c=index&a=lists&catid=57
特征库升级指导说明
迪普科技安全产品可以通过升级特征库对宝塔面板数据库管理未授权访问漏洞进行有效检测和防护，对应特征库版本号：IPS-R2.1.328、IPS-R3.1.162、WAF-R2.1.96、WAF-R3.1.96。策略配置参考链接：
http://forum.dptech.com/forum.php?mod=viewthread&tid=5992&extra=
● DPtech IPS2000
1、特征库下载地址：
http://www.dptech.com/index.php?m=content&c=index&a=show&catid=192&id=19&zhifenlei=%E7%89%B9%E5%BE%81%E5%BA%93，下载漏洞库IPS-R2.1.328版本。
http://www.dptech.com/index.php?m=content&c=index&a=show&catid=192&id=42&zhifenlei=%E7%89%B9%E5%BE%81%E5%BA%93，下载漏洞库IPS-R3.1.162版本。
● DPtech FW1000
1、特征库下载地址：
http://www.dptech.com/index.php?m=content&c=index&a=show&catid=191&id=15&zhifenlei=特征库，下载漏洞库FW1000-IPS-R2.1.328版本。
http://www.dptech.com/index.php?m=content&c=index&a=show&catid=191&id=43&zhifenlei=特征库，下载漏洞库FW1000-IPS-R3.1.162版本。
● DPtech WAF3000
1、特征库下载地址：
https://www.dptech.com/index.php?m=content&c=index&a=show&catid=194&id=30&zhifenlei=%E7%89%B9%E5%BE%81%E5%BA%93，下载漏洞库WAF3000-R2.1.96版本。
https://www.dptech.com/index.php?m=content&c=index&a=show&catid=194&id=7050&zhifenlei=%E7%89%B9%E5%BE%81%E5%BA%93，下载漏洞库WAF3000-R3.1.96版本。
迪普科技正在全力跟踪相关漏洞的最新进展，请启动设备自动更新特征库功能，有疑问的客户也可联系迪普科技当地办事处售后人员或拨打客户服务热线电话400-6100-598，进一步了解相关情况。
原文始发于微信公众号（迪普科技）：【漏洞风险通告】宝塔面板数据库管理未授权访问漏洞
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论