Headline
CVE-2023-37292: 桓基科技 HGiga iSherlock - Command Injection
Improper Neutralization of Special Elements used in an OS Command (‘OS Command Injection’) vulnerability in HGiga iSherlock 4.5 (iSherlock-user modules), HGiga iSherlock 5.5 (iSherlock-user modules) allows OS Command Injection.This issue affects iSherlock 4.5: before iSherlock-user-4.5-174; iSherlock 5.5: before iSherlock-user-5.5-174.
:::
- 首頁
- 資安服務
- 台灣漏洞揭露平台 (TVN)
- TVN (Taiwan Vulnerability Note) 漏洞公告
TVN ID
TVN-202307010
CVE ID
CVE-2023-37292
CVSS
9.8 (Critical)
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
影響產品
HGiga iSherlock (包含 MailSherlock , SpamSherock, AuditSherlock); iSherlock 4.5: iSherlock-user < 4.5-174 ; iSherlock 5.5: iSherlock-user < 5.5-174
問題描述
桓基科技 iSherlock個人化設定介面 存在 Remote Command Execution弱點。未登入的攻擊者於系統頁面參數注入系統指令後，即可執行系統任意指令，進行任意系統操作或中斷服務。
解決方法
更新 iSherlock-user 套件至 4.5-174(MSR45) 或 5.5-174 (MSR55) 或更新版本
漏洞通報者
Cyku (DEVCORE)
公開日期
2023-07-17