Logsign Unified SecOps Platform CVE-2024-5716等漏洞

Logsign Unified SecOps Platform是安全运营平台（SecOps），集成下一代SIEM、TI、UEBA和自动化事件响应，提高企业的网络弹性。

一、基本情况

Logsign Unified SecOps Platform平台可用于集成和自动化安全任务，包括日志管理、安全信息和事件管理（SIEM）、安全分析和取证。

栋科技漏洞库关注到Logsign Unified SecOps Platform多个漏洞，漏洞分别追踪为CVE-2024-5716、CVE-2024-5717至CVE-2024-5722。

具体为CVE-2024-5716、CVE-2024-5717、CVE-2024-5718、CVE-2024-57199，CVE-2024-5720、CVE-2024-5721、CVE-2024-5722。

二、漏洞分析

CVE-2024-5716

CVE-2024-5716是Logsign Unified SecOps Platform 身份认证绕过漏洞，存在于密码重置机制中，源于对过多的身份验证尝试缺乏限制。

该漏洞CVSS评分为8.6，允许远程攻击者在Logsign Unified SecOps Platform的受影响安装上绕过身份验证，利用该漏洞不需要身份验证。

该漏洞的 ZDI 编号为ZDI-CAN-24164，攻击者可利用这一漏洞重置用户密码并绕过系统身份验证。

CVE-2024-5717

CVE-2024-5717是 Logsign Unified SecOps Platform 命令注入远程代码执行漏洞，漏洞存在于HTTP API的实现中，漏洞CVSS评分为8.8。

该漏洞源于对用户提供的字符串缺乏适当的验证，在使用它执行系统调用之前未进行验证，攻击者能够利用该漏洞以root权限来执行代码。

该漏洞的 ZDI 编号为ZDI-CAN-24165，虽然要利用此漏洞需要进行身份验证，但现有的身份验证机制可以被绕过。

CVE-2024-5718

CVE-2024-5718是 Logsign Unified SecOps Platform 平台缺少身份验证远程代码执行漏洞，攻击者可以利用此漏洞以 root 权限执行代码。

该漏洞允许远程攻击者在无需身份验证的情况下，在受影响的Logsign Unified SecOps平台安装上执行任意代码，漏洞的CVSS评分为8.1。

该漏洞源于在访问功能之前没有进行身份验证，具体来说，该漏洞存在于集群 HTTP API 的实现中，当启用时会默认监听 TCP 端口 1924。

该漏洞的 ZDI 编号为 ZDI-CAN-24166。

CVE-2024-5719

CVE-2024-5719是 Logsign Unified SecOps Platform 平台命令注入远程代码执行漏洞，存在于HTTP API的实现中，漏洞CVSS评分为8.8。

该漏洞是由于在使用系统调用之前，没有对用户提供的字符串进行适当验证而导致的漏洞，攻击者能够利用这一漏洞以root权限执行代码。

该漏洞允许远程攻击者在 Logsign Unified SecOps 平台受影响安装上执行任意代码，利用需要身份验证，但现有身份验证机制可被绕过。

该漏洞的 ZDI 编号为 ZDI-CAN-24167。

CVE-2024-5720

CVE-2024-5720是 Logsign Unified SecOps Platform 平台命令注入远程代码执行漏洞，存在于HTTP API的实现中，漏洞CVSS评分为8.8。

该漏洞源于对用户提供的字符串缺乏适当的验证，在使用它执行系统调用之前未进行验证，攻击者能够利用此漏洞以root权限来执行代码。

该漏洞允许远程攻击者在 Logsign Unified SecOps 平台受影响安装上执行任意代码，利用需要身份验证，但现有身份验证机制可被绕过。

该漏洞的 ZDI 编号为 ZDI-CAN-24168。

CVE-2024-5721

CVE-2024-5721是 Logsign Unified SecOps Platform 平台命令注入远程代码执行漏洞，攻击者能够利用这一漏洞以 root 权限来执行代码。

漏洞CVSS评分为8.1，允许远程攻击者在Logsign Unified SecOps平台受影响安装上执行任意代码，而且利用此漏洞不需要进行身份验证。

该漏洞源于在访问功能之前没有进行身份验证，具体而言，该漏洞存在于集群HTTP API的实现中，当启用时会在 TCP 端口 1924 上监听。

该漏洞的 ZDI 编号为 ZDI-CAN-24169。

CVE-2024-5722

CVE-2024-5722是Logsign Unified SecOps Platform HTTP API中存在的一个硬编码加密密钥远程代码执行漏洞，该漏洞CVSS评分为8.8。

该漏洞源于其使用了硬编码的加密密钥导致的，允许网络相邻的攻击者在Logsign Unified SecOps Platform的受影响安装上执行任意代码。

该漏洞利用不需要进行身份验证，具体而言，这一漏洞存在于HTTP API的硬编码加密密钥中，攻击者可以利用该漏洞以root权限执行代码。

该漏洞的 ZDI 编号为 ZDI-CAN-24170。

上述漏洞由PRODAFT【.】com 的安全研究人员 Mehmet INCE与Logsign官方合作发现，由趋势科技零日计划负责任地披露。

三、影响范围

Logsign Unified SecOps Platform <= 6.4.7

四、修复建议

Logsign Unified SecOps Platform >= 6.4.8

五、参考链接

https://support.logsign.net/hc/en-us/articles/19316621924754-03-06-2024-Version-6-4-8-Release-Notes