【严重】宝塔面板数据库管理未授权访问漏洞通告
360CERT [三六零CERT](javascript:void(0) 今天
0x01 漏洞简述
2020年08月23日， 360CERT监测发现宝塔面板官方发布了数据库未授权访问漏洞的风险通告，漏洞等级：严重。
宝塔面板存在数据库未授权访问的漏洞，远程攻击者通过访问特定路径，可以直接访问到phpmyadmin数据库管理页面，并可借此获取服务器系统权限。
对此，360CERT建议广大用户及时根据版本安装对应的宝塔面板安全加固程序。与此同时，请做好资产自查以及预防工作，以免遭受黑客攻击。
0x02 风险等级
360CERT对该漏洞的评定结果如下
| 评定方式 | 等级 |
|---|---|
| 威胁等级 | 严重 |
| 影响面 | 广泛 |
0x03 影响版本
- 宝塔面板Linux版本：7.4.2版本和测试版本7.5.14
- 宝塔面板Windows版本：6.8版本
0x04 修复建议
通用修补建议：
- 宝塔面板Linux版本7.4.2版本升级到7.4.3版本
- 宝塔面板Linux测试版本7.5.14版本升级到7.5.15版本
- 宝塔面板Windows版本6.8版本升级到6.9.0版本
0x05 相关空间测绘数据
360安全大脑-Quake网络空间测绘系统通过对全网资产测绘，发现宝塔面板在国内有广泛使用，具体分布如下图所示。
0x06 产品侧解决方案
360城市级网络安全监测服务
360安全大脑的QUAKE资产测绘平台通过资产测绘技术手段，对该类漏洞进行监测，请用户联系相关产品区域负责人或(quake#360.cn)获取对应产品。
0x07 时间线
2020-08-23 宝塔官方发布漏洞风险通告
2020-08-23 360CERT发布通告
0x08 参考链接
-
宝塔官方发布漏洞风险通告
https://www.bt.cn/bbs/thread-54644-1-1.html
转载自https://mp.weixin.qq.com/s/4p1A2YKsmJN68PTUo7nLlA