漏洞名称：
禅道项目管理系统远程命令执行漏洞
组件名称：
禅道项目管理系统
影响范围：
17.4 ≤ Zentao(禅道) ≤ 18.0.beta1（开源版）
3.4 ≤ Zentao(禅道) ≤ 4.0.beta1（旗舰版）
7.4 ≤ Zentao(禅道) ≤ 8.0.beta1（企业版）
漏洞类型：
远程命令执行
利用条件：
1、用户认证：不需要
2、前置条件：未知
3、触发方式：远程
综合评价：
<综合评定利用难度>：未知。
<综合评定威胁等级>：严重，能造成远程命令执行。
官方解决方案：
已发布
漏洞分析
组件介绍
禅道是第一款国产的开源项目管理软件，它的核心管理思想基于敏捷方法 scrum，内置了产品管理和项目管理，同时又根据国内研发现状补充了测试管理、计划管理、发布管理、文档管理、事务管理等功能，在一个软件中就可以将软件研发中的需求、任务、bug、用例、计划、发布等要素有序地跟踪管理起来，完整地覆盖了项目管理的核心流程。
漏洞简介
2023年1月10日，深信服安全团队监测到一则禅道项目管理系统组件存在远程命令执行漏洞的信息，漏洞威胁等级：严重。
该漏洞是由于禅道项目管理系统权限认证存在缺陷导致，攻击者可利用该漏洞在未授权的情况下，通过权限绕过，SQL注入漏洞组合利用，最终可以在服务器执行任意命令。
影响范围
目前受影响的禅道版本：
17.4 ≤ Zentao(禅道) ≤ 18.0.beta1（开源版）
3.4 ≤ Zentao(禅道) ≤ 4.0.beta1（旗舰版）
7.4 ≤ Zentao(禅道) ≤ 8.0.beta1（企业版）
解决方案
如何检测组件系统版本
登陆禅道项目管理系统后，点击“关于禅道”即可查看系统版本。
官方修复建议
当前官方已发布最新版本，建议受影响的用户及时更新升级到最新版本。链接如下：
https://www.zentao.net/download.html
参考链接
https://www.zentao.net/dynamic/zentaopms18.0.beta2-81935.html
时间轴
2023/1/10
深信服监测到禅道漏洞信息。
2023/1/10
深信服千里目安全技术中心发布漏洞通告。
点击阅读原文，及时关注并登录深信服智安全平台，可轻松查询漏洞相关解决方案。
原文始发于微信公众号（深信服千里目安全技术中心）：【漏洞通告】禅道项目管理系统远程命令执行漏洞
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论