ProjectSend身份认证绕过漏洞在野利用通告

01 漏洞详情

影响组件

ProjectSend 是一个开源文件共享网络应用程序，旨在促进服务器管理员和客户端之间的安全、私密文件传输。它是一款相当流行的应用程序，被更喜欢自托管解决方案而不是 Google Drive 和 Dropbox 等第三方服务的组织使用。

漏洞描述

近日，奇安信CERT监测到 VulnCheck 分配CVE-2024-11680，ProjectSend r1720 之前的版本存在身份认证绕过漏洞。远程未经身份验证的攻击者可以通过向 options.php 发送精心设计的 HTTP 请求来利用此漏洞，从而在未经授权的情况下修改应用程序的配置。成功利用此漏洞后，攻击者可嵌入恶意代码、开启创建帐户功能并上传 webshell。鉴于此漏洞已发现在野利用，建议客户尽快做好自查及防护。

02 影响范围

影响版本

ProjectSend < r1720

其他受影响组件

无

03 受影响资产情况

奇安信鹰图资产测绘平台数据显示，ProjectSend 身份认证绕过漏洞(CVE-2024-11680)关联的全球风险资产总数为10068个，关联IP总数为2925个。全球风险资产分布情况如下：

04 处置建议

安全更新

目前官方已有可更新版本，建议受影响用户升级至最新版本：

ProjectSend >= r1720

官方补丁下载地址：

https://github.com/projectsend/projectsend/commit/193367d937b1a59ed5b68dd4e60bd53317473744

https://github.com/projectsend/projectsend/releases/tag/r1720

05 参考资料

[1]https://vulncheck.com/blog/projectsend-exploited-itw

[2]https://www.securityweek.com/projectsend-vulnerability-exploited-in-the-wild/

[3]https://thehackernews.com/2024/11/critical-flaw-in-projectsend-under.html

[4]https://github.com/projectsend/projectsend/commit/193367d937b1a59ed5b68dd4e60bd53317473744

声明：本文来自奇安信 CERT，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。