【漏洞通告】禅道项目管理系统远程命令执行漏洞

admin 2023年1月11日01:09:14评论232 views字数 955阅读3分11秒阅读模式
【漏洞通告】禅道项目管理系统远程命令执行漏洞

漏洞名称:

禅道项目管理系统远程命令执行漏洞

组件名称:

禅道项目管理系统

影响范围:

17.4 ≤ Zentao(禅道) ≤ 18.0.beta1(开源版)

3.4 ≤ Zentao(禅道) ≤ 4.0.beta1(旗舰版)

7.4 ≤ Zentao(禅道) ≤ 8.0.beta1(企业版)

漏洞类型:

远程命令执行

利用条件:

1、用户认证:不需要

2、前置条件:未知

3、触发方式:远程

综合评价:

<综合评定利用难度>:未知。

<综合评定威胁等级>:严重,能造成远程命令执行。

官方解决方案:

已发布


漏洞分析

【漏洞通告】禅道项目管理系统远程命令执行漏洞

组件介绍

禅道是第一款国产的开源项目管理软件,它的核心管理思想基于敏捷方法 scrum,内置了产品管理和项目管理,同时又根据国内研发现状补充了测试管理、计划管理、发布管理、文档管理、事务管理等功能,在一个软件中就可以将软件研发中的需求、任务、bug、用例、计划、发布等要素有序地跟踪管理起来,完整地覆盖了项目管理的核心流程。

【漏洞通告】禅道项目管理系统远程命令执行漏洞

漏洞简介

2023年1月10日,深信服安全团队监测到一则禅道项目管理系统组件存在远程命令执行漏洞的信息,漏洞威胁等级:严重。


该漏洞是由于禅道项目管理系统权限认证存在缺陷导致,攻击者可利用该漏洞在未授权的情况下,通过权限绕过,SQL注入漏洞组合利用,最终可以在服务器执行任意命令。

影响范围

目前受影响的禅道版本:

17.4 ≤ Zentao(禅道) ≤ 18.0.beta1(开源版)

3.4 ≤ Zentao(禅道) ≤ 4.0.beta1(旗舰版)

7.4 ≤ Zentao(禅道) ≤ 8.0.beta1(企业版)

解决方案

【漏洞通告】禅道项目管理系统远程命令执行漏洞

如何检测组件系统版本

登陆禅道项目管理系统后,点击“关于禅道”即可查看系统版本。

【漏洞通告】禅道项目管理系统远程命令执行漏洞
【漏洞通告】禅道项目管理系统远程命令执行漏洞
【漏洞通告】禅道项目管理系统远程命令执行漏洞

官方修复建议

当前官方已发布最新版本,建议受影响的用户及时更新升级到最新版本。链接如下:

https://www.zentao.net/download.html

参考链接

https://www.zentao.net/dynamic/zentaopms18.0.beta2-81935.html

时间轴


2023/1/10

深信服监测到禅道漏洞信息。

2023/1/10

深信服千里目安全技术中心发布漏洞通告。


点击阅读原文,及时关注并登录深信服智安全平台,可轻松查询漏洞相关解决方案。

【漏洞通告】禅道项目管理系统远程命令执行漏洞

【漏洞通告】禅道项目管理系统远程命令执行漏洞



原文始发于微信公众号(深信服千里目安全技术中心):【漏洞通告】禅道项目管理系统远程命令执行漏洞

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2023年1月11日01:09:14
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   【漏洞通告】禅道项目管理系统远程命令执行漏洞https://cn-sec.com/archives/1511954.html

发表评论

匿名网友 填写信息