据IT管理软件公司ConnectWise官网公告，其旗下的远程控制软件ScreenConnect存在两个极易被利用的漏洞，可能会允许外部人员轻易入侵，该公司敦促自托管用户应尽快更新。

ConnectWise 2月19日发布的公告表明，在所有低于23.9.8版本的ScreenConnect中存在如下两个漏洞：

CVE-2024-1709：使用备用路径或通道绕过身份验证（CWE-288）

CVE-2024-1708：对受限目录的路径名限制不当（“路径遍历”）（CWE-22）

第一个漏洞的CVSS评分为最高严重性的10分，身份验证绕过为第二个漏洞的利用打开大门，最终可能允许执行远程代码或直接影响机密数据或关键系统。

ConnectWise发布公告时，出于谨慎在技术细节上非常简略。——虽然没有证据表明这些漏洞已被广泛利用，但实际利用的难度非常低。Huntress的研究人员重现了利用和攻击链后（漏洞详细研究报告链接：https://www.huntress.com/blog/a-catastrophe-for-control-understanding-the-screenconnect-authentication-bypass）得出了相同的结论：在发布补丁之前，不应公开关于这些漏洞的详细信息。

ConnectWise目前已为此提供了修复补丁，并表示所有23.9.7及以下版本的ScreenConnect应立即更新， 该软件的云托管版本已经自动完成修补，但运行自托管版本的用户仍需要手动更新。补丁链接：https://screenconnect.connectwise.com/download

编辑：左右里

资讯来源：ConnectWise、Huntress

转载请注明出处和本文链接

[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！