来自 数据 2021-10-13 00:09 的文章

美国高防_云服务防ddos_超高防御

美国高防_云服务防ddos_超高防御

Tenable Research在IDenticard开发的PremiSys访问控制系统中发现了多个零日漏洞。截至1月9日,IDenticard尚未发布针对这些漏洞的修补程序。背景Tenable Research在IDenticard的PremiSys访问控制系统中发现了四个漏洞。PremiSys系统可用于管理门控制和门禁卡,收集详细的设施数据,ddos怎么防御,并与视频监控系统集成。根据Tenable的披露时间表,曾多次尝试联系供应商以解决这些漏洞。计算机应急响应小组(CERT)接到了这些漏洞的通知。截至1月9日,该供应商尚未回复。90天的披露期于2019年1月3日结束。分析PremiSys IDenticard版本3.1.190中已确认以下漏洞。Tenable Research请求访问最新版本以验证漏洞,但未收到任何响应。CVE-2019-3906:硬编码凭证(管理员访问服务)该服务包含硬编码凭据(CWE-798),管理员可以通过PremiSys Windows Communication Foundation(WCF)服务端点访问整个服务。不允许用户更改这些凭据。唯一的缓解措施似乎是限制到该端点的流量,cdn和cc哪种更应该防御,这可能会对应用程序本身的可用性产生进一步的影响,也可能不会。攻击者可以使用这些凭据转储证卡系统数据库的内容、修改内容或其他具有不受限制访问权限的任务。CVE-2019-3907:弱哈希/加密用户凭证和其他敏感信息使用已知的弱加密方法(Base64编码的MD5散列-salt+password)存储。CVE-2019-3908:硬编码密码Identicard备份以idbak格式存储,它看起来只是一个受密码保护的zip文件。解压内容的密码被硬编码到应用程序("ID3nt1card")。CVE-2019-3909:默认数据库凭据(对服务数据库的完全访问)IDenticard服务使用默认的数据库用户名和密码"PremisysUsr"/"ID3nt1card"进行安装。还提供了使用"ID3nt1card"来满足更长密码标准的说明。如果用户不直接向供应商发送自定义密码以接收要使用的加密变体,国内cc防御,则用户无法更改此密码在他们的配置中。攻击者可以使用这些已知凭据访问数据库的敏感内容。解决方案由于没有供应商修补程序,ddos防御云清洗,受影响的用户将不得不尝试减轻这些漏洞。像这样的系统永远不应该向互联网开放,用户应该确保适当的网络分段到位,以隔离这一关键系统。附加信息访问Medium上的Tenable Tech博客,阅读研究员Jimi Sebree关于他发现这些漏洞的工作的深入报道。成立的咨询了解Tenable的更多信息,哪个免费高防的cdn好,Tenable是第一个全面管理现代攻击面的网络暴露平台。获得60天免费试用泰纳布尔.io漏洞管理。