Bitdefender企业版安全软件发现缺陷
作者:星期三, 七月 30, 20140

bitdefender

安全软件公司比特梵德(Bitdefender) Gravity企业端点安全保护平台最近爆出缺陷, 黑客可以通过后门进入企业内网。

安全咨询公司SEC Consult漏洞实验室的研究人员Stefan Wehbock说:“这一缺陷存在于最新版的BitdefenderGravityZone中。 使得黑客可以通过网络进入企业内网。 黑客能够完全攻破这一软件, 获取系统和数据库级的访问权限。 此外, 通过这个缺陷, 黑客甚至可以接管所有的端点”

Gravity存在着三个漏洞。 其中一个是存在无须认证的通过Web界面进行本地文件访问的功能。 这样使得攻击者只要具有nginx用户权限, 就能够读取服务器上的任何文件, 包括明文密码文件。 这个漏洞目前Bitdefender已经发布了补丁。

还有一个漏洞是对一个Web用户可执行的脚本未经认证, 从而使得攻击者可能获取管理员权限。 这个漏洞也已经打上了补丁.

第三个缺陷是其后台MongoDB的数据库存在硬编码用户名和密码。 这个用户可以访问数据和数据库配置文件。 并且这一硬编码用户无法删除或修改密码。 这样的硬编码对IT公司不少见(参见本站的文章 史上12大著名安全后门植入案例), 不过作为安全公司的产品存在这样的漏洞就说不过去了。

Bitdefender计划在7月底之前对这个漏洞发布补丁, 在此之前, 建议用户停用该系统。直到厂商发布补丁并且补丁经过充分测试后再加以使用。 

申明:本文系厂商投稿收录,所涉观点不代表安全牛立场!


相关文章