正文

Netskope Client 操作系统命令注入漏洞

admin
admin V管理员 /0 评论 /14 阅读
0422
此篇文章发布距今已超过1151天，您需要注意文章的内容或图片是否可用！

CVE编号

CVE-2019-12091

利用情况

暂无

补丁情况

N/A

披露时间

2019-09-27
漏洞描述
Netskope Client是美国Netskope公司的一款用于连接管理Netskope云平台的客户端程序。 Netskope Client 57.2.0.219之前的57版本和60.2.0.214之前的60版本中的连接处理功能存在操作系统命令注入漏洞。该漏洞源于外部输入数据构造操作系统可执行命令过程中，网络系统或产品未正确过滤其中的特殊字符、命令等。攻击者可利用该漏洞执行非法操作系统命令。
解决建议
目前厂商已发布升级补丁以修复漏洞，详情请关注厂商主页：
https://www.netskope.com
参考链接
https://airbus-seclab.github.io/advisories/netskope.html
https://support.netskope.com/hc/article_attachments/360033003553/Sprint_62_Re...
https://support.netskope.com/hc/en-us/articles/360014589894-Netskope-Client
受影响软件情况
# 类型 厂商 产品 版本 影响面
1
运行在以下环境
应用 netskope netskope * From
(including)
57 		Up to
(excluding)
57.2.0.219
运行在以下环境
应用 netskope netskope * From
(including)
60 		Up to
(excluding)
60.2.0.214
CVSS3评分 7.8
  • 攻击路径 本地
  • 攻击复杂度 低
  • 权限要求 低
  • 影响范围 未更改
  • 用户交互 无
  • 可用性 高
  • 保密性 高
  • 完整性 高
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H CWE-ID 漏洞类型 CWE-78 OS命令中使用的特殊元素转义处理不恰当（OS命令注入）