1、漏洞名稱

山石網科云鑒存在前臺任意命令執行漏洞

2、發布時間

2023-11-22

3、漏洞描述

山石網科云鑒主機安全管理系統，圍繞主機檢測、響應、預防可持續安全運營，實現主機安全全生命周期管理。通過對主機進行脆弱性檢測、東西向微隔離管控、多錯點風險檢測、多層級安全響應等措施，解決主機資產管理、安全加固、東西向流量防護、威脅實時檢測、應急響應、失陷主機定位等安全問題，能夠有效幫助安全管理人員應對日趨嚴峻的主機風險態。由于該軟件的 Web 應用對用戶的輸入未進行有效過濾，直接拼接系統命令執行，造成了遠程命令執行漏洞。攻擊者可通過構造惡意請求，拼接命令執行任意代碼，控制服務器。

影響模塊：getMessageSettingAction, /master/ajaxActions/setSystemTimeAction.php, /admin/client.php

漏洞編號：HSVD-2023-0005, HSVD-2023-0008, HSVD-2023-0012

4、漏洞級別

高危

5、漏洞來源

外部披露

6、影響和修復

受影響版本及修復版本：

7、修補及防護方案

通過補丁修復。

8、聯系我們

針對此漏洞問題及詳細解決方案，可以聯系山石網科技術支持熱線電話400-828-6655及專業化服務人員、售前技術人員。

反饋山石網科產品和解決方案安全問題，請反饋至山石PSIRT郵箱PSIRT@hillstonenet.com，山石網科盡全力保障產品用戶的最終利益，遵循負責任的安全事件披露原則，并遵守相關法律法規處理產品安全問題。

山石網科，為您的安全竭盡全力！