记录黑客技术中优秀的内容,传播黑客文化,分享黑客技术精华

CVSS 得分均为 10 的两个严重漏洞影响 Dell Wyse Thin 客户端设备

2020-12-22 12:00

12月21日,一个研究小组公布了他们在Dell Wyse Thin客户端中发现的两个严重漏洞,这些漏洞可能使攻击者能够远程执行恶意代码并访问受影响设备上的任意文件。

这些漏洞由CyberMDX发现,并于2020年6月向戴尔报告。这两个漏洞的CVSS评分均为10分,影响ThinOS 8.6及以下版本的设备。戴尔在21日发布的更新中已解决了这两个漏洞。

Thin客户端通常是使用存储在中央服务器上的资源而不是本地化硬盘驱动器运行的计算机。它们通过建立到服务器的远程连接来工作,服务器负责启动和运行应用程序并存储相关数据。

本次漏洞的编号为CVE-2020-29491和CVE-2020-29492,用于从本地服务器获取固件更新和配置的FTP会话是不受保护的,没有任何身份验证(“匿名”),从而使同一网络中的攻击者能够读取和更改其配置。

dell-thin-client

第一个漏洞CVE-2020-29491允许用户访问服务器并读取属于其他客户端的配置(.ini文件)。

由于没有FTP凭据,网络上的任何人都可以访问FTP服务器并直接更改保存其他Thin客户端设备配置的.ini文件(CVE-2020-29492)。

更糟糕的是,该配置可能包含敏感数据,包括可能被用来危害设备的密码和帐户信息。

这些漏洞的利用相对容易,我们建议用户尽快使用补丁来降低风险。

CyberMDX还建议将兼容的客户端更新到ThinOS9,从而删除INI文件管理功能。如果无法进行升级,建议禁用FTP,使用HTTPS服务器Wyse管理套件

CyberMDX的研究人员表示:“读取或更改(ini文件中)这些参数会加剧攻击。在配置和启用VNC以进行完全远程控制、泄漏远程桌面凭据以及操纵DNS结果时,我们需要格外注意。”

 

 

 

 

消息及封面来源:The Hacker News ;译者:芋泥啵啵奶茶。

本文由 HackerNews.cc 翻译整理。

转载请注明“转自 HackerNews.cc ” 


知识来源: hackernews.cc/archives/34260

阅读:99804 | 评论:0 | 标签:漏洞事件 漏洞

想收藏或者和大家分享这篇好文章→复制链接地址

“CVSS 得分均为 10 的两个严重漏洞影响 Dell Wyse Thin 客户端设备”共有0条留言

发表评论

姓名:

邮箱:

网址:

验证码:

公告

永久免费持续更新精选优质黑客技术文章Hackdig,帮你成为掌握黑客技术的英雄

求赞助求支持💖

标签云