【漏洞通告】Parse Server远程代码执行漏洞（CVE-2023-36475）

一、漏洞概述

CVE ID	CVE-2023-36475	发现时间	2023-06-29
类 型	RCE	等 级	严重
攻击向量	网络	所需权限	无
攻击复杂度	低	用户交互	无
PoC/EXP		在野利用	未发现

Parse Server 是一款开源的、基于nodejs的后端框架，默认情况下使用MongoDB数据库进行数据存储，通过MongoDB BSON解析器来解析和处理BSON数据。

6月29日，启明星辰VSRC监测到Parse Server中修复了一个远程代码执行漏洞（CVE-2023-36475），其CVSSv3评分为9.8。

Parse Server版本5.5.2和6.2.1之前，由于对用户控制的参数缺乏过滤，当MongoDB BSON解析器解析恶意构造的BSON数据时易受原型污染的影响，可利用该漏洞远程执行任意代码。

二、影响范围

Parse-server版本：< 5.5.2

6.0.0<= Parse-server版本 < 6.2.1

三、安全措施

3.1 升级版本

目前该漏洞已经修复，受影响用户可升级到以下版本：

5.5.2<=Parse-server版本< 6.0.0

Parse-server版本：>=6.2.1

下载链接：

https://github.com/parse-community/parse-server/releases

3.2 临时措施

暂无。

3.3 通用建议

定期更新系统补丁，减少系统漏洞，提升服务器的安全性。

加强系统和网络的访问控制，修改防火墙策略，关闭非必要的应用端口或服务，减少将危险服务（如SSH、RDP等）暴露到公网，减少攻击面。

使用企业级安全产品，提升企业的网络安全性能。

加强系统用户和权限管理，启用多因素认证机制和最小权限原则，用户和软件权限应保持在最低限度。

启用强密码策略并设置为定期修改。

3.4 参考链接

https://github.com/parse-community/parse-server/security/advisories/GHSA-462x-c3jw-7vr6

https://github.com/parse-community/parse-server/pull/8674

原文始发于微信公众号（网安百色）：【漏洞通告】Parse Server远程代码执行漏洞（CVE-2023-36475）