研究人员发现RCE和无证件后门风险
Wapples中的多个漏洞beplay体育能用吗Web应用程序防火墙（WAF）研究人员警告说，（WAF）创造了一种手段来指挥弱势设备并运行任意命令。
安全研究员Konstantin Burov表示，该技术中的另一组缺陷创造了一种手段，可以通过“后门帐户”获得特权。
更具体地说，位于哈萨克斯坦的安全研究人员发现了漏洞在从4.0版到6.0版的Wapples中，远程攻击者可以执行任意代码或使用预定义的凭据以及其他利用来获取机密信息。
布罗夫还发现，可以将用户特权升级为扎根于技术的5.0和6.0。
来自PENTA安全系统的Wapples作为硬件设备或虚拟机。在任何一种情况下，该技术旨在保护原本可能是脆弱的网站或应用程序免受潜在攻击的影响。beplay体育能用吗
根据布罗夫（Burov）经营的肖丹（Shodan）搜索，该技术在日本和韩国最广泛使用。
漏洞 - 被跟踪为CVE-2022-24706，CVE-2022-31322，CVE-2022-35413，CVE-2022-31324和CVE-2022-35582 -技术博客文章。
最严重的远程代码执行（RCE）风险 - 被追踪为CVE-2022–24706（目前正在重新分析） - 依赖于脆弱的第三方组成部分。
Burov解释说：“ Wapples在默认配置中使用脆弱的CouchDB版本，导致远程OS命令执行。”“要利用此漏洞，攻击者必须可以访问管理接口。”
布罗夫警告说：“攻击者可以作为'couchdb'用户获得无私的访问系统，然后使用其他漏洞升级特权。”
Penta-Thlon
另外，布罗夫（Burov）发现，“ Wapples运行的操作系统具有内置的非特权用户'Penta'，并具有预定义的密码。
研究人员说：“密码在系统脚本中显示出来，并且产品的不同版本不同。”
这个未锁定的后门的实际取景（被跟踪为CVE-2022–35582）即使是中等熟练的攻击者，也很可能能够掌握设备凭据，从而获得对设备的无法控制的访问。
布罗夫发现，还暴露了一些最近版本的Wapples的网络APIbeplay体育能用吗的硬编码凭证。Wapples中的缺陷破坏了原本可以提供的保护。
你也许也喜欢供应商争端防火墙插件RCE缺陷的严重性
安全工程师兼笔测试师布罗夫（Burov）告诉每日swbeplay2018官网ig他在业余时间进行了安全研究。
“我的同事向我展示了这个产品，我几乎立即找到了经典的错误指挥注射在CLI中，”他解释说。“而且我决定在引擎盖下看，因为我确定还有更严重的错误。
“我无法确认该问题已由供应商解决，因为我目前无法访问Wapples设备。我所拥有的只是供应商保证。”
在没有得到Penta Security的回应后，Burov与Penta Security的合伙人Cloudbric Corp取得了联系，后者告诉他问题已经解决。
每日swbeplay2018官网ig还向Penta Security和Cloubric寻求评论。尚未回来，但是我们将一旦获得更多信息，我们将立即更新此故事。
布罗夫说，他的研究结果为其他软件开发人员提供了课程。
他解释说：“如果您将其他技术纳入您的产品中，那么您应该知道它是您自己的产品（例如在CouchDB手册中），据描述，Erlang Cookie的默认值需要更改。”“我还建议研究参考'OWASP安全编码实践’。”
