微软：热门源代码管理平台 Perforce Helix Core Server 中存在RCE漏洞

 聚焦源代码安全，网罗国内外最新资讯！

编译：代码卫士

微软在游戏、政府、军队和技术行业都在使用的源代码管理平台 Perforce Helix Core Server 上发现了四个漏洞，其中一个是严重等级。

微软公司的分析师对该平台的一次安全审计中发现了这些漏洞，并在2023年8月告知Perforce 公司。微软的游戏开发制作室使用该源代码管理平台。

尽管微软表示尚未看到这些漏洞遭在野利用的情况，但建议用户升级至在2023年11月7日发布的版本2023.1/2513900。

漏洞简介

这四个漏洞主要是拒绝服务 (DoS) 问题，其中最严重的可导致未认证攻击者以 LocalSystem 的权限实现任意远程代码执行后果。

这四个漏洞是：

• CVE-2023-5759（CVSS评分7.5）：可通过 RPC 标头滥用导致未认证 DoS。

• CVE-2023-45849（CVSS评分9.8）：以 LocalSystem 权限实现未认证的 RCE。

• CVE-2023-35767（CVSS评分7.5）：通过远程命令实现未认证的DoS。

• CVE-2023-45319（CVSS评分7.5）：通过远程命令实现未认证的DoS。

上述最严重的漏洞是CVE-2023-45849，可导致未认证攻击者以 “LocalSystem” 的身份执行代码，而该权限是未系统函数保留的高权限 Windows OS 账户。该账户级别可访问本地资源和系统文件、修改注册表设置等。

该漏洞是因为该服务器对 user-bgtask RPC 命令处理不当造成的。在默认配置下，Perforce Server 允许未认证攻击者远程以 LocalSystem 身份执行任意命令如 PowerShell 脚本等。

攻击者可利用CVE-2023-45849 安装后门、访问敏感信息、创建或修改系统设置并可能完全控制运行易受攻击的 Perforce Server 的系统。

余下的三个漏洞严重性较低，可导致DoS攻击，但仍然可导致运营中断，从而在大型部署中造成重大经济损失。

防护建议

除了从厂商的下载门户下载最新版本的 Helix Core 外，微软建议采取如下措施：

• 定期更新第三方软件

• 限制访问权限，如使用VPN或IP白名单

• 记录对 Perforce Server 的所有访问

• 为IT和安全团队设置崩溃报警

• 通过网络分段防止安全事件

此外，建议采取官方安全指南提供的建议。

代码卫士试用地址：https://codesafe.qianxin.com

开源卫士试用地址：https://oss.qianxin.com

---

推荐阅读

原文链接

https://www.bleepingcomputer.com/news/security/microsoft-discovers-critical-rce-flaw-in-perforce-helix-core-server/

题图：Pixabay License

本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。

    觉得不错，就点个 “在看” 或 "赞” 吧~