【误差通告】Sitecore XP远程代码执行误差（CVE-2021-42237）
宣布时间 2021-11-090x00 误差概述
CVE ID | CVE-2021-42237 | 时 间 | 2021-10-13 |
类 型 | RCE | 等 级 | 高危 |
远程使用 | 是 | 影响规模 | |
攻击重漂后 | 可用性 | ||
用户交互 | 所需权限 | ||
PoC/EXP | 在野使用 | 是 |
0x01 误差详情
Sitecore Experience Platform (XP) 是一个用 .NET 编写的企业内容治理系统 (CMS)，，，提供了用于内容治理、数字营销以及剖析和报告的工具，，，该 CMS 被企业大宗使用，，，包括许多财产 500 强中的公司。。。。现在，，，Internet 上有凌驾 4.5 万个 Sitecore 实例。。。。
10 月13 日，，，Sitecore宣布清静通告，，，修复了Sitecore XP中的一个远程代码执行误差（CVE-2021-42237）。。。。该误差是Report.ashx文件中不清静的反序列化导致的远程代码执行，，，Report.ashx文件用于驱动已在8.0初始版本中弃用的Executive Insight仪表板。。。。该误差无需经由身份验证或特殊设置即可被远程使用来攻击易受攻击的效劳器并对其举行完全控制。。。。
11月2日，，，CVE-2021-42237的手艺剖析文章被果真披露，，，攻击者可以使用该信息来攻击易受攻击的网站。。。。11月5日，，，澳大利亚网络清静中心 (ACSC) 宣布清静通告，，，提醒网络治理员注重 CVE-2021-42237 正在被起劲使用。。。。
影响规模
Sitecore XP 7.5 初始版本 - Sitecore XP 7.5 Update-2
Sitecore XP 8.0 初始版本 - Sitecore XP 8.0 Update-7
Sitecore XP 8.1 初始版本 - Sitecore XP 8.1 Update-3
Sitecore XP 8.2 初始版本 - Sitecore XP 8.2 Update-7
0x02 处置惩罚建议
现在此误差已经修复，，，建议受影响用户实时升级更新到Sitecore XP 9.0初始版本或更高版本。。。。
下载链接：
https://dev.sitecore.net/
缓解步伐
在所有效劳器实例上的/sitecore/shell/ClientBin/Reporting/Report.ashx 中删除 Report.ashx 文件。。。。更多详细信息请参考Sitecore官方清静通告：
https://support.sitecore.com/kb?id=kb_article_view&sysparm_article=KB1000776
0x03 参考链接
https://blog.assetnote.io/2021/11/02/sitecore-rce/
https://support.sitecore.com/kb?id=kb_article_view&sysparm_article=KB1000776
https://www.bleepingcomputer.com/news/security/sitecore-xp-rce-flaw-patched-last-month-now-actively-exploited/
0x04 更新版本
版本 | 日期 | 修改内容 |
V1.0 | 2021-11-09 | 首次宣布 |
0x05 关于人生就是博
人生就是博简介
人生就是博公司建设于1996年，，，并于2010年6月23日在深交所中小板正式挂牌上市，，，是海内最具实力的信息清静产品和清静治理平台、清静效劳与解决计划的领航企业之一。。。。
公司总部位于北京市中关村软件园，，，在天下各省、市、自治区设立分支机构六十多个，，，拥有笼罩天下的销售系统、渠道系统和手艺支持系统 ；；； ；；；并在华北、华东、西南和华南结构四大研发中心，，，划分为北京研发总部、上海研发中心、成都研发中心和广州研发中心。。。。
多年来，，，人生就是博致力于提供具有国际竞争力的自主立异的清静产品和最佳实践效劳，，，资助客户周全提升其IT基础设施的清静性和生产效能，，，为打造和提升国际化的民族信息清静工业领军品牌而不懈起劲。。。。
关于人生就是博
人生就是博清静应急响应中心主要针对主要清静误差的预警、跟踪和分享全球最新的威胁情报和清静报告。。。。
关注以下公众号，，，获取全球最新清静资讯：
京公网安备11010802024551号