rConfig 中两个远程代码执行 0day 缝隙安全公告

颁布功夫 2019-11-04

缝隙编号和级别


CVE编号：CVE-2019-16662，危险级别：高危，CVSS分值：官方未评定

CVE编号：CVE-2019-16663，危险级别：高危，CVSS分值：官方未评定


影响版本


这两个缝隙影响所有 rConfig 版本，蕴含最新版本3.9.2


缝隙概述


rConfig是用PHP编写的开源网络设备配置工具，凭据该项主张网站，rConfig被用于治理超过330万个网络设备。


安全钻研人员在rConfig工具中发现两个未建复的关键RCE缝隙，并披露了有关PoC。这两个缝隙蕴含ajaxServerSettingsChk.php中未经身份验证的RCE（CVE-2019-16662）和search.crud.php中经过身份验证的RCE（CVE-2019-16663）。攻击者可通过GET参数接见文件并在指标服务器上执行恶意号令。


缝隙验证


POC：https://shells.systems/rconfig-v3-9-2-authenticated-and-unauthenticated-rce-cve-2019-16663-and-cve-2019-16662/。


宝运莱·(中国区)最新官方网站


宝运莱·(中国区)最新官方网站



建复建议


目前这两个缝隙均未颁布补丁。建议用户在补丁颁布前一时从服务器中将其删除。


参考链接


https://shells.systems/rconfig-v3-9-2-authenticated-and-unauthenticated-rce-cve-2019-16663-and-cve-2019-16662/