Telerik Report Server 是一款基于服务器的报告平台，为报告以及用于在组织机构范围内创建、部署、交付和管理报告的工具提供中心化存储服务。

该漏洞是因为不可信数据的反序列化弱点造成的，该弱点可被用于在未修复服务器上实施远程代码执行。该漏洞影响 Report Server 2024 Q2 (10.1.24.514) 及更早版本，已在2024 Q2 (10.1.24.709) 版本中修复。

Progress Software 公司在周三的安全公告中提醒称，“更新至 Report Server 2024 Q2 (10.1.24.709) 或后续版本是清除该漏洞的唯一方式。Progress Telerik 团队强烈建议升级至最新版本。”

管理员可通过如下方式检查自己的服务器是否易受这些攻击：
1、 进入 Report Server web UI 并通过具有管理员权限的账户登录

2、 打开配置页面 (~/Configuration/Index)

3、 选择“关于”标签，版本号会在右边的面板中显示

Progress 还为无法立即升级设备的用户提供了临时的缓解措施。Report Server Application Pool 用户可更改为权限有限的用户。无法创建 IIS 用户并分配 App Pool 程序的用户可参照 Progress 支持文档中的信息缓解该漏洞。

老旧 Telerik 缺陷已遭攻击

虽然 Progress 公司并未分享 CVE-2024-6327 是否已遭在野利用，但其它 Telerik 漏洞近年来已遭攻击。

例如，在2022年，美国一家联邦机构的微软互联网信息服务 (IIS) web 服务器遭 CVE-2019-18935漏洞利用攻击。CISA、FBI和MS-ISAC 发布联合公告指出，至少两个威胁组织（其中一个是越南的XE Group组织）攻陷了该易受攻击的服务器。在这次攻击活动中，威胁行动者部署了多个恶意软件 payload 并收集提取了信息，同时在2022年11月和2023年1月早些时候维护对受陷网络的访问权限。

近期，安全研究人员通过组合利用严重的认证绕过漏洞 (CVE-2024-4358)和高危 RCE 漏洞 (CVE-2024-1800) 开发并发布了针对 Telerik Report Server上 RCE 的 PoC。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。

    觉得不错，就点个 “在看” 或 "赞” 吧~