正文

浪潮ClusterEngineV4.0 任意用户登录和远程命令执行漏洞

admin
admin V管理员 /0 评论 /14 阅读
0416
此篇文章发布距今已超过1117天，您需要注意文章的内容或图片是否可用！

CVE编号

N/A

利用情况

漏洞武器化

补丁情况

没有补丁

披露时间

2021-04-12
漏洞描述
2021攻防演习期间，浪潮ClusterEngineV4.0 被爆存在任意用户登录漏洞和远程命令执行漏洞，构造恶意的用户名和密码即可获取后台权限。
解决建议
联系官方寻求补丁。
参考链接
https://github.com/PeiQi0/PeiQi-WIKI-POC/blob/master/PeiQi_Wiki/%E6%9C%8D%E5%...
阿里云评分 9.2
  • 攻击路径 远程
  • 攻击复杂度 容易
  • 权限要求 无需权限
  • 影响范围 越权影响
  • EXP成熟度 漏洞武器化
  • 补丁情况 没有补丁
  • 数据保密性 数据泄露
  • 数据完整性 无影响
  • 服务器危害 服务器失陷
  • 全网数量 100
CWE-ID 漏洞类型 CWE-290 使用欺骗进行的认证绕过