CVE-2021-35464: ForgeRock AM远程代码执行漏洞

报告编号：B6-2021-063002

报告来源：360CERT

报告作者：360CERT

更新日期：2021-06-30

0x01 漏洞简述

2021年06月30日，360CERT监测发现portswigger发布了ForgeRock AM远程代码执行漏洞的漏洞分析报告，漏洞编号为CVE-2021-35464，漏洞等级：严重，漏洞评分：9.8。

ForgeRock AM是一个开源的访问管理、权限控制平台，在大学、社会组织中存在广泛的应用。未经身份验证的攻击者可以通过构造特殊的请求远程执行任意代码，并接管运行ForgeRock AM的服务器。由于 ForgeRock AM本身的权限管理功能，攻击者在控制 ForgeRock AM的服务器还可以直接访问其他敏感服务，进行进一步的攻击。

该漏洞不需要进行身份认证，无需任何用户交互，攻击成本低。同时因其为关键的边界身份认证服务，一旦遭到攻击，将导致非常严重的后果，利用价值极高。

对此，360CERT建议广大用户及时将ForgeRock AM升级到最新版本。与此同时，请做好资产自查以及预防工作，以免遭受黑客攻击。

0x02 风险等级

360CERT对该漏洞的评定结果如下

评定方式	等级
威胁等级	严重
影响面	广泛
攻击者价值	极高
利用难度	低
360CERT评分	9.8

0x03 漏洞详情

CVE-2021-35464: ForgeRock AM代码执行漏洞

CVE: CVE-2021-35464

组件: ForgeRock AM

漏洞类型: 代码执行

影响: 服务器接管

简述: ForgeRock AM中使用了Jato框架，该框架因历史原因已于2005年停止维护。在该框架中当处理GET请求参数jato.pageSession时会直接将其值进行反序列化。攻击者可以通过构造jato.pageSession值为恶意的序列化数据触发反序列化流程，最终导致远程代码执行。

360CERT已经复现该漏洞：

0x04 影响版本

组件	影响版本	安全版本
ForgeRock AM	6.0.0.x	7
ForgeRock AM	6.5.0.x	7
ForgeRock AM	6.5.1	7
ForgeRock AM	6.5.2.x	7
ForgeRock AM	6.5.3	7

0x05 修复建议

通用修补建议

根据影响版本中的信息，排查并升级到安全版本

临时修复建议

\1. 通过注释AMweb.xml文件中的以下部分来禁止VersionServlet的映射

  <servlet-mapping>        <servlet-name>VersionServlet</servlet-name>       <url-pattern>/ccversion/*</url-pattern>   </servlet-mapping>

\2. 使用反向代理或者其他方法阻止对ccversion端点的请求。同时避免出现通过反向代理进行Tomcat路径遍历的漏洞。

0x06 产品侧解决方案

若想了解更多产品信息或有相关业务需求，可移步至http://360.net。

360城市级网络安全监测服务

360CERT的安全分析人员利用360安全大脑的QUAKE资产测绘平台(quake.360.cn)，通过资产测绘技术的方式，对该漏洞进行监测。可联系相关产品区域负责人或(quake#360.cn)获取对应产品。

360安全分析响应平台

360安全大脑的安全分析响应平台通过网络流量检测、多传感器数据融合关联分析手段，对该类漏洞的利用进行实时检测和阻断，请用户联系相关产品区域负责人或(shaoyulong#360.cn)获取对应产品。

360本地安全大脑

360本地安全大脑是将360云端安全大脑核心能力本地化部署的一套开放式全场景安全运营平台，实现安全态势、监控、分析、溯源、研判、响应、管理的智能化安全运营赋能。360本地安全大脑已支持对相关漏洞利用的检测，请及时更新网络神经元（探针）规则和本地安全大脑关联分析规则，做好防护。

360终端安全管理系统

360终端安全管理系统软件是在360安全大脑极智赋能下，以大数据、云计算等新技术为支撑，以可靠服务为保障，集防病毒与终端安全管控功能于一体的企业级安全产品。

360终端安全管理系统已支持对相关漏洞进行检测和修复，建议用户及时更新漏洞库并安装更新相关补丁。

0x07 时间线

2021-06-29 ForgeRock官方发布安全通告

2021-06-29 portswigger研究员发布分析报告

2021-06-30 360CERT发布通告

0x08 参考链接

1、官方安全通告

2、 Pre-auth RCE in ForgeRock OpenAM (CVE-2021-35464)

0x09 特制报告下载链接

一直以来，360CERT对全球重要网络安全事件进行快速通报、应急响应。为更好地为政企用户提供最新漏洞以及信息安全事件的安全通告服务，现360CERT正式推出安全通告特制版报告，以便用户做资料留存、传阅研究与查询验证。用户可直接通过以下链接进行特制报告的下载。

CVE-2021-35464: ForgeRock AM远程代码执行漏洞通告

若有订阅意向与定制需求请发送邮件至 g-cert-report#360.cn ，并附上您的公司名、姓名、手机号、地区、邮箱地址。

转载自https://cert.360.cn/warning/detail?id=95aac3f95ad740c3f34f4c08a67b9868

</article>

查看全文

http://www.taodudu.cc/news/show-1427791.html

Trend Micro Password Manager 多个高危漏洞
Windows Print Spooler 远程代码执行漏洞（CVE-2021-1675）
CVE-2021-1675: Windows Print Spooler远程代码执行漏洞
Python实现恋爱AA公式
如何科学的使用华为云
《计算机组成原理》BCD码 8421编码原理剖析
Python 列表 append()函数使用详解
python 列表 remove()函数使用详解
《Python入门到精通》Python基础语法
Python列表常用函数使用详解（内附详细案例）
Python集合常用函数使用详解（内附详细案例）
Python字典常用函数使用详解（内附详细案例）
Python数据类型转换详解（内附详细案例）
《Python入门到精通》运算符
《Python入门到精通》流程控制语句
《Python入门到精通》函数
《计算机网络入门到精通》网络体系结构
《Python入门到精通》文件操作
ARP协议详解，ARP协议执行原理、ARP协议如何根据IP地址寻找Mac地址？
DHCP协议执详解，DHCP协议执行流程、配置方式
Typora如何设置图片的默认保存路径
MySQL安装时Download界面为空，不显示需要下载的组件，MySQL Installer 8.0.28.0 Download界面为空解决方案
SQLi LABS Less-8 布尔盲注
SQL注入分类，一看你就明白了。SQL注入点/SQL注入类型/SQL注入有几种/SQL注入点分类
你的个人信息是如何被盗走的？MySQL脱库，脱库的原理，怎么脱库，脱库的步骤，一库三表六字段
我们都在向前奔跑，只有它独自留在了22年的春天 —— 冬奥日记
MySQL三种打开方式
MySQL8.0卸载教程
MySQL group_concat函数使用详解
MySQL concat函数使用详解