rConfig 中两个远程代码执行 0day 缝隙安全公告
颁布功夫 2019-11-04缝隙编号和级别
CVE编号：CVE-2019-16662，危险级别：高危，CVSS分值：官方未评定
CVE编号：CVE-2019-16663，危险级别：高危，CVSS分值：官方未评定
影响版本
这两个缝隙影响所有 rConfig 版本，蕴含最新版本3.9.2
缝隙概述
rConfig是用PHP编写的开源网络设备配置工具，凭据该项主张网站，rConfig被用于治理超过330万个网络设备。
安全钻研人员在rConfig工具中发现两个未建复的关键RCE缝隙，并披露了有关PoC。这两个缝隙蕴含ajaxServerSettingsChk.php中未经身份验证的RCE（CVE-2019-16662）和search.crud.php中经过身份验证的RCE（CVE-2019-16663）。攻击者可通过GET参数接见文件并在指标服务器上执行恶意号令。
缝隙验证
POC：https://shells.systems/rconfig-v3-9-2-authenticated-and-unauthenticated-rce-cve-2019-16663-and-cve-2019-16662/。
建复建议
目前这两个缝隙均未颁布补丁。建议用户在补丁颁布前一时从服务器中将其删除。
参考链接
https://shells.systems/rconfig-v3-9-2-authenticated-and-unauthenticated-rce-cve-2019-16663-and-cve-2019-16662/
京公网安备11010802024551号