【漏洞通告】騎士CMS遠程代碼執(zhí)行漏洞
- CNNVD編號：未知
- 危害等級： 高危
- CVE編號：未知
- 漏洞類型： 遠程代碼執(zhí)行
- 威脅類型：遠程
- 廠 商：未知
- 漏洞來源：未知
- 發(fā)布時間：2020-11-25
- 更新時間：2020-12-11
漏洞簡介
騎士CMS是一項基于PHP+MYSQL為核心開發(fā)的一套免費 + 開源專業(yè)人才招聘系統(tǒng)。為個人求職和企業(yè)招聘提供信息化解決方案, 騎士人才系統(tǒng)具備執(zhí)行效率高、模板切換自由、后臺管理功能靈活、模塊功能強大等特點，自上線以來一直是職場人士、企業(yè)HR青睞的求職招聘平臺。經(jīng)過7年的發(fā)展，騎士人才系統(tǒng)已成國內(nèi)人才系統(tǒng)行業(yè)的排頭兵。系統(tǒng)應(yīng)用涉及政府、企業(yè)、科研教育和媒體等行業(yè)領(lǐng)域，用戶已覆蓋國內(nèi)所有省份和地區(qū)。2016年全新推出騎士人才系統(tǒng)基礎(chǔ)版，全新的“平臺+插件”體系，打造用戶“DIY”個性化功能定制，為眾多地方門戶、行業(yè)人才提供一個專業(yè)、穩(wěn)定、方便的網(wǎng)絡(luò)招聘管理平臺，致力發(fā)展成為引領(lǐng)市場風(fēng)向的優(yōu)質(zhì)高效的招聘軟件。
漏洞公示
近日，騎士CMS官方發(fā)布一則安全更新，修復(fù)了一處代碼執(zhí)行漏洞。該漏洞由一個上傳繞過+文件包含漏洞組合而成，最終可執(zhí)行任意代碼。攻擊者可在前臺注冊用戶后，通過構(gòu)造惡意請求，最終配合文件包含漏洞，實現(xiàn)代碼執(zhí)行，控制服務(wù)器。該漏洞攻擊代碼已經(jīng)公開，請受影響的用戶及時更新補丁或升級到不受影響版本。
參考網(wǎng)站
暫無
受影響實體
暫無
補丁
1 官方修復(fù)建議
1.建議受影響的客戶立即更新升級到最新版本(6.0.48）：http://www.74cms.com/
2. 二次開發(fā)過或其他原因無法直接升級的站點請按以下教程按照指引手動升級：http://www.74cms.com/news/show-2497.html
2 深信服解決方案
【深信服下一代防火墻】可輕松防御此漏洞， 建議部署深信服下一代防火墻的用戶更新至最新的安全防護規(guī)則，可輕松抵御此高危風(fēng)險。
【深信服云盾】已第一時間從云端自動更新防護規(guī)則，云盾用戶無需操作，即可輕松、快速防御此高危風(fēng)險。
【深信服安全感知平臺】可檢測利用該漏洞的攻擊，實時告警，并可聯(lián)動【深信服下一代防火墻等產(chǎn)品】實現(xiàn)對攻擊者ip的封堵。
