کشف چند آسیب‌پذیری بحرانی در Hertzbeat

سه آسیب‌پذیری با شناسه‌های CVE-2023-51388 ، CVE-2023-51389 و CVE-2023-51653 و شدت بحرانی (9.8) در Hertzbeat کشف شده است. Hertzbeat یک سیستم نظارت و مانیتورینگ منبع باز است. بهره‌برداری هر کدام از آسیب‌پذیری‌ها به شرح ذیل می‌باشد:
•    با بهره‌برداری از نقص CVE-2023-51388 ، مهاجم می‌تواند حمله script injection را انجام دهد.
•    با بهره‌برداری از نقص CVE-2023-51389 ، چون هیچ پیکربندی برای پارسر yml استفاده نشده است، مهاجم می‌تواند حمله YAML deserialization را انجام دهد.
•    نقص CVE-2023-51653 به دلیل وجود آسیب‌پذیری  JNDI injectionدر JMXConnectorFactory.connect است و با بهره‌برداری از این آسیب‌پذیری مهاجم توانایی اجرای کد از راه دور (RCE) را دارد.
بر اساس بردار حمله این آسیب‌پذیری‌ها (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H)  بهره‌برداری از طریق شبکه خارجی و از راه دور امکان‌پذیر است  (AV:N)، نیازمند هیچ پیش‌زمینه‌ای نبوده و به‌ راحتی قابل تکرار است و به شرایط خاصی نیازنیست (AC: L)، مهاجم برای انجام حمله نیاز به حساب‌کاربری با سطح دسترسی بالا یا پایین ندارد (PR: N)، به تعامل با کاربر نیز نیاز ندارد (UI:N)، بهره‌برداری از نقص امنیتی مذکور بر سایر منابع امنیتی تأثیر نمی‌گذارد (S:U) و با بهره‌برداری از این آسیب‌پذیری، هر سه ضلع امنیت با شدت بالا تحت تأثیر قرار می‌گیرد.  

محصولات تحت‌تأثیر
نسخه‌های قبل از نسخه 1.4.1 تحت‌تأثیر این آسیب‌پذیری‌ها قرار دارند.

توصیه‌های امنیتی
به کاربران توصیه می‌شود Hertzbeat را به نسخه 1.4.1 به‌روزرسانی کنند.

منابع خبر:

[1] https://nvd.nist.gov/vuln/detail/CVE-2023-51388
[2] https://nvd.nist.gov/vuln/detail/CVE-2023-51389
[3] https://nvd.nist.gov/vuln/detail/CVE-2023-51653