CVE-2024-863 License Product Key Information Disclosure

漏洞关键信息总结 漏洞概述 标题：License 产品密钥暴露给缺乏 权限的用户（通过 CSV 导出和 API 存在性预言机） CVE 编号：CVE-2024-CVE-863 严重性：CVSS v3.1 评分 6.5/10（Medium） 受影响版本：≤ 8.6.3 修复版本：8.7.0 攻击向量：网络（Network） 攻击复杂度：低（Low） 所需权限：低（Low） 用户交互：无（None） 影响范围：未变更（Unchanged） 机密性影响：高（High） 完整性/可用性影响：无（None） 影响范围 受影响包：未列出具体包名 受影响版本：≤ 8.6.3 修复版本：8.7.0 影响描述： - 任何仅持有 权限的已认证用户可： - 通过 CSV 导出（Vector A）批量下载所有产品密钥 - 通过 API 索引端点（Vector B）验证候选密钥的有效性 - 泄露的密钥可被用于激活软件，造成直接财务影响（许可成本、审计费用） - 在 BYOL 部署中，密钥作为激活凭证，未授权使用会导致软件失效 修复方案 补丁版本：8.7.0 修复内容： - Vector A（CSV 导出）：CSV 导出不再输出共享的 占位符，改为在 列中直接输出产品密钥（仅对持有 权限的用户可见） - Vector B（API 存在性预言机）：API 索引端点现在会丢弃 列（对缺乏 权限的用户）， 和 参数通过新的 方法处理，该方法从可搜索属性集中移除 ，委托给标准的 - 回归测试：在 和 中添加了回归测试，覆盖： - 缺乏 权限时 CSV 导出掩码偏好 - 过滤器抑制 - 键的免费文本搜索抑制 - 作用域返回后恢复可搜索属性集 POC / 利用代码 Vector A：通过 CSV 导出批量提取密钥 Vector B：API 索引上的存在性预言机 临时缓解措施（Workarounds） 在补丁发布前，部署应确保仅持有 权限的用户访问 路由和 端点 或临时撤销访问权限 或通过 Web 服务器或 WAF 层进行限制

目標達成すべての支援者に感謝 — 100%達成しました！

CVE-2024-863 License Product Key Information Disclosure

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

CVE-2024-863 License Product Key Information Disclosure

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！