Tableau Software Server授权问题漏洞

CVE编号

CVE-2020-6939

利用情况

暂无

补丁情况

N/A

披露时间

2020-11-24

漏洞描述

Tableau Software Server是美国塔谱软件（Tableau Software）公司的一套文件托管服务器。该产品主要用于管理、共享Tableau Desktop数据可视化软件创建的数据可视化、交互式仪表板、工作簿和报告等。 Tableau Server 存在安全漏洞，该漏洞允许未经身份验证的用户使用api，可能允许恶意用户配置特定于站点的SAML设置，并可能导致该站点用户的帐户接管。以下产品及版本受到影响：2018.2至2018.2.27、2018.3至2018.3.24、2019.1至2019.1.22、2019.2至2019.2.18、2019.3至2019.3.14、2019.4至2019.4.13、2020.1至2020.1.10、2020.2至2020.2.7、2020.3至2020.3.2。

解决建议

目前厂商已发布升级补丁以修复漏洞，补丁获取链接： https://help.salesforce.com/articleView?id=000355686&type=1&mode=1

参考链接
https://help.salesforce.com/articleView?id=000355686&type=1&mode=1

受影响软件情况

#	类型	厂商	产品	版本	影响面
1
	运行在以下环境
	应用	tableau	tableau_server	*	From (including) 2018.2	Up to (including) 2018.2.27
	运行在以下环境
	应用	tableau	tableau_server	*	From (including) 2018.3	Up to (including) 2018.3.24
	运行在以下环境
	应用	tableau	tableau_server	*	From (including) 2019.1	Up to (including) 2019.1.22
	运行在以下环境
	应用	tableau	tableau_server	*	From (including) 2019.2	Up to (including) 2019.2.18
	运行在以下环境
	应用	tableau	tableau_server	*	From (including) 2019.3	Up to (including) 2019.3.14
	运行在以下环境
	应用	tableau	tableau_server	*	From (including) 2019.4	Up to (including) 2019.4.13
	运行在以下环境
	应用	tableau	tableau_server	*	From (including) 2020.1	Up to (including) 2020.1.10
	运行在以下环境
	应用	tableau	tableau_server	*	From (including) 2020.2	Up to (including) 2020.2.7
	运行在以下环境
	应用	tableau	tableau_server	*	From (including) 2020.3	Up to (including) 2020.3.2

CVSS3评分 9.8

• 攻击路径 网络
• 攻击复杂度 低
• 权限要求 无
• 影响范围 未更改
• 用户交互 无
• 可用性 高
• 保密性 高
• 完整性 高

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

CWE-ID	漏洞类型
NVD-CWE-noinfo

Exp相关链接

- avd.aliyun.com