漏洞概述 在Silver Leaf Technologies的Worksnaps应用程序二进制文件中发现了硬编码的AWS云凭证。这些凭证包括AWS访问密钥和S3存储桶名称，允许攻击者完全访问Worksnaps的AWS基础设施，并以AWS根账户身份进行操作。攻击者可以访问包含敏感数据的S3存储桶，如用户桌面的截图。 影响范围 受影响版本：Worksnaps客户端版本1.6.20260201及更早版本。 影响级别：严重（critical）。 具体影响：攻击者可以通过硬编码的凭证访问AWS根账户，列出所有S3存储桶，获取实例元数据，下载敏感数据（如用户桌面截图）。 修复方案 临时措施：供应商已发布补丁，移除了硬编码的AWS凭证，并撤销了原始凭证。 长期措施：建议进行彻底的安全审查，以识别和解决潜在的安全问题。 最新版本：Worksnaps客户端版本1.6.20260201已包含必要的补丁。 漏洞详情 硬编码云凭证（CVE-2025-10560） 在应用程序二进制文件中发现了硬编码的AWS凭证，例如： 利用代码 1. 获取调用者身份： 2. 列出所有S3存储桶： 3. 描述EC2实例： 4. 下载S3存储桶中的文件： 更新日志 2026-01-30：供应商发布了新版本，移除了硬编码的AWS凭证，但仍有硬编码凭证存在于应用程序二进制文件中。 2026-02-21：供应商进一步修复了问题，移除了 ，并使用新的API端点上传截图。 受影响版本 原始版本：Windows客户端版本1.6.20250304 2026-01-30更新：Windows客户端版本1.6.20251206 2026-02-21更新：Windows客户端版本1.6.20260201 供应商联系时间线 2025-07-09：首次联系供应商，无回复。 2025-08-22：发送提醒邮件，无回复。 2025-09-16：提交支持工单，无回复。 2025-11-03：通知供应商即将发布漏洞公告，分配CVE-2025-10560。 结论 该漏洞允许攻击者通过硬编码的AWS凭证完全访问Worksnaps的AWS基础设施，存在严重的安全风险。建议用户立即更新到最新版本，并进行全面的安全审查。