Zeroshell http参数号令注入缝隙安全公告

颁布功夫 2019-07-29

◆ 缝隙编号和级别


CVE编号：CVE-2019-12725，危险级别：严沉，CVSS分值：9.8


◆ 影响版本


受影响的版本


Zeroshell 3.9.0


◆ 缝隙概述


Zeroshell是一套面向服务器和嵌入式系统的Linux刊行版。Zeroshell 3.9.0版本中存在安全缝隙，该缝隙源于法式没有正确处置HTTP参数。攻击者可通过注入操作系统号令利用该缝隙执行号令。


◆ 缝隙验证


POC：https://www.tarlogic.com/advisories/zeroshell-rce-root.txt。


◆ 建复建议


目前厂商暂未颁布建复措施解决此安全问题，建议使用此软件的用户随时关注厂商主页或参考网址以获取解决法子：https://zeroshell.org/ 。


◆ 参考链接


https://www.tarlogic.com/advisories/zeroshell-rce-root.txt