开源CasaOS云软件发现关键漏洞
作者:IT资讯 来源:人工智能 浏览: 【大中小】 发布时间:2025-11-26 23:09:02 评论数:
近日 ，开源开源 CasaOS 个人云软件中发现的云软两个严重的安全漏洞 。该漏洞一旦被攻击者成功利用 ，发键漏就可实现任意代码执行并接管易受攻击的现关系统。
这两个漏洞被追踪为CVE-2023-37265和CVE-2023-37266 ，开源CVSS评分均为9.8分 。云软
发现这些漏洞的模板下载发键漏Sonar安全研究员Thomas Chauchefoin表示：这两个漏洞均允许攻击者绕过身份验证要求 ，获得对CasaOS仪表板的现关完全访问权限 。
更令人担忧的开源是 ，CasaOS 对第三方应用程序的云软支持可被用于在系统上运行任意命令 ，以获得对设备的源码下载发键漏持久访问权或进入内部网络 。
继 2023 年 7 月 3 日负责任的现关披露之后 ，其维护者 IceWhale 于 2023 年 7 月 14 日发布的开源 0.4.4 版本中解决了这些漏洞。
这两个漏洞的云软简要说明如下 ：
CVE-2023-37265 - 源 IP 地址识别不正确 ，允许未经身份验证的发键漏攻击者在 CasaOS 实例上以 root 身份执行任意命令CVE-2023-37265 - 未經驗證的源码库攻擊者可以製作任意 JSON Web 令牌 (JWT) ，存取需要驗證的功能 ，並在 CasaOS 實體上以根身份執行任意指令这两个漏洞被成功利用的后果是 ，攻击者可以绕过身份验证限制 ，并在易受攻击的 CasaOS 实例上直接获得管理权限。亿华云
Chauchefoin表示 ，在应用层识别IP地址是有风险的 ，不应该依赖于安全决策 。许多不同的报头都可能传输诸如X-Forwarded-For, Forwarded等信息 ，并且语言api有时需要以相同的方式解释HTTP协议的云计算细微差别 。同样 ，所有的框架都有自己的“怪癖” ，如果没有这些常见安全漏洞的专业知识 ，便很难驾驭。
香港云服务器