去年5月Progress因MFT档案传输系统MOVEit Transfer零时差漏洞引发大规模灾情,再加上该公司公布部分漏洞公告的当下,并未提供相关编号,导致IT人员必须疲于奔命关注的情况,因此,该公司另一个产品线出现资安漏洞,也引起研究人员高度关注。
4月2日Progress推出网路效能监控工具Flowmon新版12.3.5、11.1.14,,攻击者若是利用这项弱点,很有可能在受害电脑植入Web Shell,并将权限提升为root。
研究人员展示概念性验证(PoC)攻击,他们借由操纵pluginPath或file parameters等功能函数,从而注入恶意命令,从而在/var/www/shtml/写入Web Shell。不过,上述命令无法直接看到输出结果。