UCloud-202103-005:ntopng 权限绕过与任意代码执行漏洞
- 发布时间
- 更新时间
- 2021-03-24
- 漏洞等级
- High
- CVE编号
- CVE-2021-28073、CVE-2021-28074
漏洞描述
2021年3月24日UCloud安全应急响应中心监测到国内某安全团队公开披露 ntopng 权限绕过与任意代码执行漏洞，ntopng是一款基于Web的流量分析与集流应用工具；这次发生的安全风险导致攻击者可构造恶意请求，绕过相关认证，配合相关功能造成任意代码执行，控制服务器。ntopng官方团队已于2021年3月5日发布相关commit代码进行修复；如未对应用版本进行更新的用户请立即更新避免遭受攻击!
影响范围
ntopng commit < e8b9721479f401f595c5c7bb151819aceb03ad71
安全版本
ntopng commit >= e8b9721479f401f595c5c7bb151819aceb03ad71
安全建议
1、将 ntopng 更新至安全版本
2、限制访问来源范围，避免遭受恶意攻击
参考链接
https://github.com/ntop/ntopng/commit/e8b9721479f401f595c5c7bb151819aceb03ad71