Elastix 發現重大漏洞 elastix

alang

今天有客戶回報在 Elastix 2.2 發現有嚴重的漏洞，這漏洞將使遠端攻擊者可以任意讀取系統內的所有檔案，經我細查後，連 Elastix 2.0 版本也會有此風險，所以強烈建議所有學員，如果你正在使用這兩個版本，並且有開放 Web 瀏覽權限，你的系統已經曝露在危險的階段，如果有人不相信，請提供你的 Elastix 網站位址，我將輕易就能竊取幾組密碼，例如資料庫、AMI等。

因應方式:
- 設定系統不同的密碼時，不要共用同一組
- 立即升級至 Elastix 2.3 可修復這個漏洞 (如果系統是 production 請自行評估升級的風險)
- 不要開放公眾網路存取 Elastix 網站，可透過各種方式作限制
- 詳細閱讀 OSSLab 文章 http://goo.gl/8AHsh

G+ 訊息: https://plus.google.com/111689628453141334496/posts/6WMbptkx6iw

alang

你的系統應該不是 2.3，所以應該是存在有風險。

alang

這個漏洞是存在於 Elastix 的所屬模組 VtigerCRM 內，如果不想升級，可以移除該模組，並確定所屬模組的所有檔案均已不存在。

由於 Elastix 是由 RPM 所安裝，如果要修改 Asterisk 的 source code 其過程相當複雜，假使不理會這些過程，直接在編譯後強制覆蓋所有檔案，這可能會導致 Elastix 出現異常。

alang

cd /var/www/html
mv vtigercrm disabled_vtigercrm_je38jh7dkes9jejjhfolw98d34

最好方式還是關閉 Web 的公眾網路的存取

alang

你只要確定外部其他的 IP 無法存取 80 與 443 就可以了。

至於 SIP port 就用 fail2ban 來防護