一、漏洞概述
|
漏洞名称
|
Parse Server注入漏洞
|
|
CVE ID
|
CVE-2024-29027
|
|
漏洞类型
|
注入
|
发现时间
|
2024-03-20
|
|
漏洞评分
|
9.0
|
漏洞等级
|
高危
|
|
攻击向量
|
网络
|
所需权限
|
无
|
|
利用难度
|
高
|
用户交互
|
无
|
|
PoC/EXP
|
未公开
|
在野利用
|
未发现
|
Parse Server 是一款基于node.js的开源框架。
2024年3月20日，启明星辰VSRC监测到Parse Server中修复了一个注入漏洞（CVE-2024-29027），该漏洞的CVSS评分为9.0。
Parse Server版本6.5.5和7.0.0-alpha.29之前，由于缺乏对Cloud Function 名称和 Cloud Job 名称的字符串清理，当调用无效的Parse Server Cloud Function名称或 Cloud Job 名称时可能导致服务器崩溃，或可能导致代码注入或远程代码执行等。
二、影响范围
7.0.0-alpha.1<= Parse Server版本< 7.0.0-alpha.29
三、安全措施
3.1 升级版本
目前该漏洞已经修复，受影响用户可升级到Parse Server版本6.5.5、7.0.0-alpha.29及更高版本。
https://github.com/parse-community/parse-server/releases
3.2 临时措施
3.3 通用建议
定期更新系统补丁，减少系统漏洞，提升服务器的安全性。
加强系统和网络的访问控制，修改防火墙策略，关闭非必要的应用端口或服务，减少将危险服务（如SSH、RDP等）暴露到公网，减少攻击面。
加强系统用户和权限管理，启用多因素认证机制和最小权限原则，用户和软件权限应保持在最低限度。
3.4 参考链接
https://github.com/parse-community/parse-server/security/advisories/GHSA-6hh7-46r2-vf29
https://nvd.nist.gov/vuln/detail/CVE-2024-29027
原文始发于微信公众号（启明星辰安全简讯）：【漏洞通告】Parse Server注入漏洞（CVE-2024-29027）
评论