https://event.flydove.net/edm/web/infosecurity01/294830
https://event.flydove.net/edm/web/infosecurity01/294830

新聞

Openfire漏洞危機:仍有3000多台伺服器未進行更新

2023 / 08 / 28
編輯部
Openfire漏洞危機:仍有3000多台伺服器未進行更新
Openfire是一款廣泛使用的基於Java的開源聊天(XMPP)伺服器,下載量達900萬次。但成千上萬的Openfire伺服器仍然容易受到CVE-2023-32315的攻擊,這是一個被積極利用的路徑漏洞,允許未經身份驗證的用戶建立新的管理員帳戶。
 
CVE-2023-32315影響2015年4月發佈的3.10.0版本,Openfire開發人員曾發佈4.6.8、4.7.5和4.8.0版本的安全更新來解決這個問題。但研究發現未更新的伺服器上CVE-2023-32315還是被積極利用來建立管理帳號並上傳惡意外掛程式。
 
VulCheck漏洞研究人員發現OpenFire社群沒有積極進行安全更新,尚有3000多台伺服器仍然存在漏洞。Shodan掃描顯示6324台網路公開的Openfire伺服器,其中一半,3162台伺服器運行過時的版本,仍然受到CVE-2023-32315漏洞威脅。
 
只有20%的用戶進行漏洞修補,25%用戶使用版本早於3.10.0,另有5%的用戶運行的開源專案分支可能會受到影響。考慮到這些Openfire伺服器在通訊關鍵基礎設施、處理敏感資訊等方面所扮演的角色,CVE-2023-32315漏洞威脅應被重視。
 
利用CVE-2023-32315可以建立一個管理員帳號,允許攻擊者上傳惡意Java JAR外掛程式,這些外掛程式打開反向外殼或在受損伺服器上執行命令。
 
 實際利用案例包含加密挖礦僵屍網路背後的駭客Kinsing利用CVE-2023-32315安裝了一個特制的Openfire外掛程式,該外掛程式在易受攻擊的伺服器上啟動反向外殼。
 
其實資安人員很容易從日誌中檢測到建立管理員帳號這類異常行為,因此,目前發現一種惡意駭客可以在不建立管理員帳戶的情況下,利用該漏洞的隱蔽方法。
 
分析人員展示藉由提取JSESSIONID和CSRF權杖,直接存取“plugin-admin.jsp”,然後透過POST請求上傳JAR外掛程式。該外掛程式已被接受並安裝在易受攻擊的伺服器上,並且無需管理員帳戶即可訪問其webshell。
 
因為這種攻擊方式不會在安全記錄檔中留下痕跡,所以它比當前的漏洞攻擊要隱蔽得多,並躲避了安全系統的檢測。由於CVE-2023-32315已經受到積極利用,包括來自僵屍網路惡意軟體的利用,可能會引發更可怕的第二波攻擊。因此,敦促尚未升級到修補版本的Openfire伺服器管理員儘快升級。