ConnectWise Automate SQL注入漏洞

CVE编号

CVE-2020-14159

利用情况

暂无

补丁情况

N/A

披露时间

2020-06-16

漏洞描述

ConnectWise Automate是美国ConnectWise公司的一套基于云的本地IT自动化解决方案。该产品支持内容管理、文件共享、IT资产跟踪和管理等功能。<br /> ConnectWise Automate 2019.12.337之前版本、2020.1.53之前的2020版本、2020.2.85之前的2020.2版本、2020.3.114之前的2020.3版本、2020.4.143之前的2020.4版本和2020.5.178之前的2020.5版本中的/LabTech/agent.aspx存在SQL注入漏洞。经过身份认证的远程攻击者可借助Automate API利用该漏洞执行命令或在个别的Automate实例中进行修改操作。

解决建议

目前厂商已发布升级补丁以修复漏洞，补丁获取链接：https://www.connectwise.com/company/trust

参考链接
https://www.connectwise.com/company/trust

受影响软件情况

#	类型	厂商	产品	版本	影响面
1
	运行在以下环境
	应用	connectwise	automate_api	*		Up to (excluding) 2019.12.337
	运行在以下环境
	应用	connectwise	automate_api	*	From (including) 2020	Up to (excluding) 2020.1.53
	运行在以下环境
	应用	connectwise	automate_api	*	From (including) 2020.2	Up to (excluding) 2020.2.85
	运行在以下环境
	应用	connectwise	automate_api	*	From (including) 2020.3	Up to (excluding) 2020.3.114
	运行在以下环境
	应用	connectwise	automate_api	*	From (including) 2020.4	Up to (excluding) 2020.4.143
	运行在以下环境
	应用	connectwise	automate_api	*	From (including) 2020.5	Up to (excluding) 2020.5.178

CVSS3评分 8.8

• 攻击路径 网络
• 攻击复杂度 低
• 权限要求 低
• 影响范围 未更改
• 用户交互 无
• 可用性 高
• 保密性 高
• 完整性 高

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

CWE-ID	漏洞类型
CWE-89	SQL命令中使用的特殊元素转义处理不恰当（SQL注入）

Exp相关链接

- avd.aliyun.com