Cobalt Strike team服务被爆RCE漏洞，尽快升级最新版

昨日，Cobalt Strike team服务器爆出一个远程代码执行漏洞。用户可以使用内置的更新程序./update更新这个紧急热补丁。最新可下载的试用版本已经安装了该热补丁。

有关安全机构正在为解决这一问题而努力准备一次全面更新。并且这次的全面更新将会尽快向广大用户提供。

关于该漏洞

漏洞起因源于在Beacon以及SSH有效载荷执行文件下载功能时，参数处理不当，导致允许目录遍历攻击。

通过这个漏洞，黑客可以连接到Cobalt Strike 的侦听器，下载有效的载荷阶段，使用所下载的阶段伪造一个会话，并且制作一个消息，迫使Cobalt Strike写一个文件到任意位置。

潜在的感染指标

这些指标可能表明是一种探索性尝试：

1.在这份指标报告中有一条GET请求/aaaa。虽然这是可以拦截到载荷阶段的有效URI链接，但是Cobalt Strike在下载有效载荷阶段时随机化了该URI链接.

2.活动报告显示了 .config下载路径，/etc/crontab，以及/etc/cron.d/.hourly。

3.报告者指出，攻击者清除了服务器上的日志，也清除了下载的文件，并且清除了Cobalt Strike的数据模型和日志文件。

缓解措施

试用版用户：下载使用最新安装了热补丁的试用版本。

一般用户：运行内置的更新程序来升级到含有热补丁的CS版本。

如果你的Beacon已经是Cobalt Strike 3.5版本，在更新版本的时候将不会受到任何影响。该补丁已经在控制器中了。

如果想要验证是否已经安装了热补丁，可以点击帮助（Help）->系统信息（System Information）。若已经安装该补丁，Cobalt Strike将会显示他的版本为20160928。点击帮助（Help）->关于（About）将会显示3.5-hf1。

所有的Cobalt Strike 3.5 及其以下没有打过热补丁的版本将会受到感染。这个问题很可能也存在于 Cobalt Strike 2.x及其以下版本中。

来源：bobao.360.cn

原文始发于微信公众号（CNNVD安全动态）：Cobalt Strike team服务被爆RCE漏洞，尽快升级最新版