开源CasaOS云软件发现关键漏洞

近日,开源 CasaOS 个人云软件中发现的两个严重的安全漏洞。该漏洞一旦被攻击者成功利用,就可实现任意代码执行并接管易受攻击的系统。

这两个漏洞被追踪为CVE-2023-37265和CVE-2023-37266,CVSS评分均为9.8分。

发现这些漏洞的Sonar安全研究员Thomas Chauchefoin表示:这两个漏洞均允许攻击者绕过身份验证要求,获得对CasaOS仪表板的完全访问权限。

更令人担忧的是,CasaOS 对第三方应用程序的支持可被用于在系统上运行任意命令,以获得对设备的持久访问权或进入内部网络。

继 2023 年 7 月 3 日负责任的披露之后,其维护者 IceWhale 于 2023 年 7 月 14 日发布的 0.4.4 版本中解决了这些漏洞。

这两个漏洞的简要说明如下:

  • CVE-2023-37265 - 源 IP 地址识别不正确,允许未经身份验证的攻击者在 CasaOS 实例上以 root 身份执行任意命令
  • CVE-2023-37265 - 未經驗證的攻擊者可以製作任意 JSON Web 令牌 (JWT),存取需要驗證的功能,並在 CasaOS 實體上以根身份執行任意指令

这两个漏洞被成功利用的后果是,攻击者可以绕过身份验证限制,并在易受攻击的 CasaOS 实例上直接获得管理权限。

Chauchefoin表示,在应用层识别IP地址是有风险的,不应该依赖于安全决策。许多不同的报头都可能传输诸如X-Forwarded-For, Forwarded等信息,并且语言api有时需要以相同的方式解释HTTP协议的细微差别。同样,所有的框架都有自己的"怪癖",如果没有这些常见安全漏洞的专业知识,便很难驾驭。

相关推荐
粟悟饭&龟波功4 小时前
【网络安全】二、入门篇:HTTP 协议进阶 ——GET/POST 常用传参方法详解
安全·web安全·http
lingggggaaaa6 小时前
小迪安全v2023学习笔记(九十讲)—— 小程序篇&反编译&外在&主包分包&配置泄露&算法逆向&未授权
笔记·学习·安全·web安全·网络安全·小程序
独行soc8 小时前
2025年渗透测试面试题总结-90(题目+回答)
网络·python·安全·web安全·adb·渗透测试·安全狮
jun~1 天前
SQLMap数据库枚举靶机(打靶记录)
linux·数据库·笔记·学习·安全·web安全
伊织code1 天前
Cybersecurity AI (CAI) - 轻量级网络安全AI框架
人工智能·安全·web安全·cybersecurity·cai
黄焖鸡能干四碗1 天前
企业信息化建设总体规划设计方案
大数据·运维·数据库·人工智能·web安全
余防1 天前
文件上传漏洞(二)iis6.0 CGI漏洞
前端·安全·web安全·网络安全
PyHaVolask1 天前
渗透测试入门:从网络抓包到Web安全基础
网络·web安全·http协议·网络抓包
PyHaVolask1 天前
从PHP入门到公网部署:Web开发与服务器运维实战指南
web安全·php开发·http协议·服务器部署
鸠摩智首席音效师2 天前
Nginx 如何启用 HSTS 以加强网络安全 ?
运维·nginx·web安全