Node-RED 未授权访问导致 RCE

CVE编号

N/A

利用情况

暂无

补丁情况

N/A

披露时间

2020-12-18

漏洞描述

Node-RED 是一个基于 node.js 的可视化物联网控制流工具。 Node-RED 存在未授权访问导致 RCE，由于 Node-RED 应用程序未强制执行任何类型的身份验证，因此可以未授权公开访问，攻击者通过组合特定的Flows以在目标系统上执行任意命令。

解决建议

建议用户参考 Node-RED 官方文档中关于安全保护的相关条目妥善进行安全配置，防止被未授权用户登录服务器造成损失。
例如要在编辑器和管理 API 上启用用户身份验证，可以取消注释设置文件中的adminAuth 属性，参考链接：https://nodered.org/docs/user-guide/runtime/securing-node-red。

参考链接
https://nodered.org/docs/user-guide/runtime/securing-node-red

受影响软件情况

#	类型	厂商	产品	版本	影响面
1
	运行在以下环境
	应用	Node-Red	Node-Red	*	-

阿里云评分 2.8

• 攻击路径 N/A
• 攻击复杂度 N/A
• 权限要求 N/A
• 影响范围 N/A
• EXP成熟度 N/A
• 补丁情况 N/A
• 数据保密性 N/A
• 数据完整性 N/A
• 服务器危害 N/A
• 全网数量 N/A

CWE-ID 漏洞类型