Quest DR系列磁盘备份设备和KACE系统管理设备被曝存在60多个漏洞

美国网络安全公司Core Security的研究人员表示,他们最近在由IT管理公司Quest (Quest Software, Inc.)生产的DR系列磁盘备份设备和KACE系统管理设备中共发现了60多个漏洞。该公司目前已经发布了安全补丁,但表示如果披露太多细节,可能就会对Core Security采取法律行动。

美国网络安全公司Core Security的研究人员表示,他们最近在由IT管理公司Quest (Quest Software, Inc.)生产的DR系列磁盘备份设备和KACE系统管理设备中共发现了60多个漏洞。该公司目前已经发布了安全补丁,但表示如果披露太多细节,可能就会对Core Security采取法律行动。
Core Security在上周四(5月31日)先后发布了两份安全咨询报告,一份针对了Quest DR系列磁盘备份设备(DR Series Disk Backup Appliances),而另一份则针对了Quest KACE系统管理设备(KACE System Management Appliance)。
根据Core Security的说法,他们在Quest DR系列磁盘备份设备中发现了50多个安全漏洞,最严重的漏洞允许未经身份验证的远程攻击者通过登录进程的“password”参数执行任意系统命令。其中还有6个特权提升漏洞是值得注意的,它们允许攻击者获得root权限。
具体的漏洞编号如下:
CVE-2018-11133,CVE-2018-11144,CVE-2018-11145,CVE-2018-11146,CVE-2018-11147,CVE-2018-11148,CVE-2018-11149,CVE-2018-11150,CVE-2018-11151,CVE-2018-11152,CVE-2018-11153,CVE-2018-11154,CVE-2018-11155,CVE-2018-11156,CVE-2018-11157,CVE-2018-11158,CVE-2018-11159,CVE-2018-11160,CVE-2018-11161,CVE-2018-11162,CVE-2018-11163,CVE-2018-11164,CVE-2018-11165,CVE-2018-11166,CVE-2018-11167,CVE-2018-11168,CVE-2018-11169,CVE-2018-11170,CVE-2018-11171,CVE-2018-11172,CVE-2018-11173,CVE-2018-11174,CVE-2018-11175,CVE-2018-11176,CVE-2018-11177,CVE-2018-11178,CVE-2018-11179,CVE-2018-11180,CVE-2018-11181,CVE-2018-11182,CVE-2018-11183,CVE-2018-11184,CVE-2018-11185,CVE-2018-11186,CVE-2018-11187,CVE-2018-11188,CVE-2018-11189,CVE-2018-11190,CVE-2018-11191,CVE-2018-11192,CVE-2018-11193,CVE-2018-11194。
所有这些漏洞都会影响到Quest DR系列磁盘备份软件版本4.0.3或更早版本,Quest公司已经通过发行版本4.0.3.1进行了修复。
来自Core 的另一份安全咨询报告介绍了影响Quest KACE系统管理设备的11个漏洞——CVE-2018-11138,CVE-2018-11139,CVE-2018-11135,CVE-2018-11134,CVE-2018-11132,CVE-2018-11142,CVE-2018-11136,CVE-2018-11140,CVE-2018-11133,CVE-2018-11137和CVE-2018-11141。
研究人员发现,该产品的Web控制台受到三个命令注入漏洞的影响,其中一个可以被未经身份验证的攻击者利用。另外八个漏洞则涉及:权限提升、SQL注入、跨站点脚本(XSS)和路径遍历等问题。
研究人员表示,这些漏洞至少会影响到Quest KACE系统管理设备版本8.0(Build 8.0.318)。其他产品和版本也可能受到影响,但未经测试。Quest公司已经发布了一个安全补丁,可用于版本7.0、7.1、7.2、8.0和8.1。
在披露所有这些漏洞期间,Quest公司告诉Core Security,其工作违反了其许可协议,并要求Core Security不要公开其调查结果以避免他们采取法律行动。
根据资料显示,Quest公司的产品据称正在被全球超过13万家企业所使用,它的确有一个负责任的信息披露政策,但表示有关任何漏洞的报告都被视为该公司的机密和专有信息,不能向第三方透露。
Core Security因此只发布了有关每个漏洞的有限信息,但表示对Quest公司的披露政策及态度感到失望。

本文业界资讯相关术语:网络安全论文 网络安全密钥 网络安全工程师 网络安全技术与应用 网络安全概念股 网络安全知识 网络安全宣传周 网络安全知识竞赛 网络安全事件

tags: CVE,Quest,漏洞,Core,Security,KACE,DR,系统管理,设备,备份,磁盘,系列,版本
分页:12
转载请注明
本文标题:Quest DR系列磁盘备份设备和KACE系统管理设备被曝存在60多个漏洞
本站链接:https://www.codesec.net/view/577194.html


1.凡CodeSecTeam转载的文章,均出自其它媒体或其他官网介绍,目的在于传递更多的信息,并不代表本站赞同其观点和其真实性负责;
2.转载的文章仅代表原创作者观点,与本站无关。其原创性以及文中陈述文字和内容未经本站证实,本站对该文以及其中全部或者部分内容、文字的真实性、完整性、及时性,不作出任何保证或承若;
3.如本站转载稿涉及版权等问题,请作者及时联系本站,我们会及时处理。
登录后可拥有收藏文章、关注作者等权限...
技术大类 技术大类 | 业界资讯 | 评论(0) | 阅读(426)