【漏洞通告】Sitecore XP远程代码执行漏洞（CVE-2021-42237）
发布时间 2021-11-090x00 漏洞概述
CVE ID | CVE-2021-42237 | 时 间 | 2021-10-13 |
类 型 | RCE | 等 级 | 高危 |
远程利用 | 是 | 影响范围 | |
攻击复杂度 | 可用性 | ||
用户交互 | 所需权限 | ||
PoC/EXP | 在野利用 | 是 |
0x01 漏洞详情
Sitecore Experience Platform (XP) 是一个用 .NET 编写的企业内容管理系统 (CMS)，提供了用于内容管理、数字营销以及分析和报告的工具，该 CMS 被企业大量使用，包括许多财富 500 强中的公司。目前，Internet 上有超过 4.5 万个 Sitecore 实例。
10 月13 日，Sitecore发布安全公告，修复了Sitecore XP中的一个远程代码执行漏洞（CVE-2021-42237）。该漏洞是Report.ashx文件中不安全的反序列化导致的远程代码执行，Report.ashx文件用于驱动已在8.0初始版本中弃用的Executive Insight仪表板。该漏洞无需经过身份验证或特殊配置即可被远程利用来攻击易受攻击的服务器并对其进行完全控制。
11月2日，CVE-2021-42237的技术分析文章被公开披露，攻击者可以利用该信息来攻击易受攻击的网站。11月5日，澳大利亚网络安全中心 (ACSC) 发布安全公告，提醒网络管理员注意 CVE-2021-42237 正在被积极利用。
影响范围
Sitecore XP 7.5 初始版本 - Sitecore XP 7.5 Update-2
Sitecore XP 8.0 初始版本 - Sitecore XP 8.0 Update-7
Sitecore XP 8.1 初始版本 - Sitecore XP 8.1 Update-3
Sitecore XP 8.2 初始版本 - Sitecore XP 8.2 Update-7
0x02 处置建议
目前此漏洞已经修复，建议受影响用户及时升级更新到Sitecore XP 9.0初始版本或更高版本。
下载链接：
https://dev.sitecore.net/
缓解措施
在所有服务器实例上的/sitecore/shell/ClientBin/Reporting/Report.ashx 中删除 Report.ashx 文件。更多详细信息请参考Sitecore官方安全公告：
https://support.sitecore.com/kb?id=kb_article_view&sysparm_article=KB1000776
0x03 参考链接
https://blog.assetnote.io/2021/11/02/sitecore-rce/
https://support.sitecore.com/kb?id=kb_article_view&sysparm_article=KB1000776
https://www.bleepingcomputer.com/news/security/sitecore-xp-rce-flaw-patched-last-month-now-actively-exploited/
0x04 更新版本
版本 | 日期 | 修改内容 |
V1.0 | 2021-11-09 | 首次发布 |
0x05 关于我们
公司简介
启明星辰公司成立于1996年，并于2010年6月23日在深交所中小板正式挂牌上市，是国内最具实力的信息安全产品和安全管理平台、安全服务与解决方案的领航企业之一。
公司总部位于北京市中关村软件园，在全国各省、市、自治区设立分支机构六十多个，拥有覆盖全国的销售体系、渠道体系和技术支持体系；并在华北、华东、西南和华南布局四大研发中心，分别为北京研发总部、上海研发中心、成都研发中心和广州研发中心。
多年来，启明星辰致力于提供具有国际竞争力的自主创新的安全产品和最佳实践服务，帮助客户全面提升其IT基础设施的安全性和生产效能，为打造和提升国际化的民族信息安全产业领军品牌而不懈努力。
关于我们
启明星辰安全应急响应中心主要针对重要安全漏洞的预警、跟踪和分享全球最新的威胁情报和安全报告。
关注以下公众号，获取全球最新安全资讯：
京公网安备11010802024551号