注意:宝塔曝未授权访问数据库漏洞,尽快升级版本!

公众号程序猿DD

共 1050字,需浏览 3分钟

 ·

2020-08-28 15:26

点击上方蓝色“程序猿DD”,选择“设为星标”

回复“资源”获取独家整理的学习资料!

来源 | https://nosec.org/home/detail/4536.html
2020年8月23日晚间,宝塔官方紧急推送安全更新,修复了一处在7.4.2版本中的高危漏洞,攻击者可利用此漏洞越权访问数据库,甚至获取服务器权限。
宝塔 Linux 面板是提升运维效率的服务器管理软件,支持一键 LAMP / LNMP /集群/监控/网站/ FTP /数据库/ JAVA 等100多项服务器管理功能。目前互联网中已公布相关利用的 POC,建议受影响企事业单位尽快修复,白帽汇安全研究院第一时间复现该漏洞。

影响范围

  • 宝塔 linux 面板 7.4.2
  • 宝塔 windows 面板 6.8
  • 安装了 phpmyadmin。(其他版本不影响)
根据目前 FOFA 系统最新数据(一年内数据),显示全球范围内(app="宝塔-Linux控制面板")共有 2,592,629 个相关服务对外开放。美国使用数量最多,共有 1,279,856 个;中国大陆第二,共有 461,268 个;中国香港第三,共有 401,294 个;南非第四,共有 238,695 个;澳大利亚第五,共有 19,850 个。
全球范围内分布情况如下(仅为分布情况,非漏洞影响情况)
中国大陆地区浙江使用数量最多,共有 93,211 个;北京第二,共有 54,557 个;广东第三,共有 14,903 个,广西第四,共有 6,492 个;江苏第五,共有 5,781 个。

漏洞POC

目前 FOFA 客户端平台已经更新检测 POC。

修复建议
  1. 升级宝塔面板至最新版本 7.4.3 ,官方链接: https://www.bt.cn/bbs/thread-54644-1-1.html
  2. 请立即关闭888端口的公网访问,或进行访问限制。


往期推荐

fastjson 的作者,在阿里内网挨骂了?!

Redisson 是如何实现分布式锁的?

详解:UML类图符号、各种关系说明以及举例

Spring Cloud 常见面试题及答案

面试:为什么 Java 线程没有Running状态?



星球限时拼团优惠进行中


我的星球是否适合你?

点击阅读原文看看我们都聊过啥?

浏览 42
点赞
评论
收藏
分享

手机扫一扫分享

分享
举报
评论
图片
表情
推荐
点赞
评论
收藏
分享

手机扫一扫分享

分享
举报