【漏洞通告】Rejetto HTTP File Server模板注入漏洞安全风险通告

近日，嘉诚安全监测到Rejetto HTTP File Server中存在一个模板注入漏洞，漏洞编号为：CVE-2024-23692。

HFS（HTTP File Server）是一个简单易用的文件服务器软件，用户可以通过直观的web界面来管理文件和目录的共享。

鉴于漏洞危害较大，嘉诚安全提醒相关用户尽快下载相关补丁，避免引发漏洞相关的网络安全事件。

经研判，该漏洞为高危漏洞，PoC/EXP已公开，且发现被在野利用。未经身份验证的攻击者通过发送特制的HTTP请求在受影响的系统上执行任意命令。

影响版本：

HTTP File Server 2.X版本

目前官方已不再维护HFS 2.x版本，建议客户升级至HFS 3.x版本：

官方最新版本下载地址：

https://github.com/rejetto/hfs/releases

参考链接：

https://mohemiv.com/all/rejetto-http-file-server-2-3m-unauthenticated-rce/

https://github.com/rejetto/hfs2