open-xchange appsuite backend-8.10.0SSRF漏洞(CVE-2023-26438)
CVE编号
CVE-2023-26438利用情况
暂无补丁情况
N/A披露时间
2023-08-02漏洞描述
多种协议的外部服务查询存在时间检查/使用漏洞（TOCTOU），涉及JDK DNS缓存。攻击者准确计时DNS缓存到期时间，可以注入配置绕过现有网络拒绝列表。攻击者可以利用这个漏洞来发现受限制的网络基础设施和服务可用性。改进已经包括在提供连接数据的检查期间，并在使用期间进行拒绝列表检查。没有公开可用的利用程序。解决建议
建议您更新当前系统或软件至最新版，完成漏洞的修复。受影响软件情况
| # | 类型 | 厂商 | 产品 | 版本 | 影响面 | ||||
| 1 | |||||||||
|---|---|---|---|---|---|---|---|---|---|
| 运行在以下环境 | |||||||||
| 应用 | open-xchange | open-xchange_appsuite_backend | 7.10.6 | - | |||||
| 运行在以下环境 | |||||||||
| 应用 | open-xchange | open-xchange_appsuite_backend | 8.10.0 | - | |||||
- 攻击路径 网络
- 攻击复杂度 高
- 权限要求 低
- 影响范围 未更改
- 用户交互 无
- 可用性 无
- 保密性 低
- 完整性 无
| CWE-ID | 漏洞类型 |
| CWE-367 | 检查时间与使用时间(TOCTOU)的竞争条件 |
| CWE-918 | 服务端请求伪造（SSRF） |
Exp相关链接
版权声明
本站原创文章转载请注明文章出处及链接，谢谢合作！
评论