【漏洞通告】Sitecore XP远程代码执行漏洞（CVE-2021-42237）
宣布时间 2021-11-090x00 漏洞概述
CVE ID | CVE-2021-42237 | 时 间 | 2021-10-13 |
类 型 | RCE | 等 级 | 高危 |
远程利用 | 是 | 影响范围 | |
攻击庞大度 | 可用性 | ||
用户交互 | 所需权限 | ||
PoC/EXP | 在野利用 | 是 |
0x01 漏洞详情
Sitecore Experience Platform (XP) 是一个用 .NET 编写的企业内容管理系统 (CMS)，提供了用于内容管理、数字营销以及分析和陈诉的工具，该 CMS 被企业大量使用，包罗许多财富 500 强中的公司 。目前，Internet 上有凌驾 4.5 万个 Sitecore 实例 。
10 月13 日，Sitecore宣布宁静通告，修复了Sitecore XP中的一个远程代码执行漏洞（CVE-2021-42237） 。该漏洞是Report.ashx文件中不宁静的反序列化导致的远程代码执行，Report.ashx文件用于驱动已在8.0初始版本中弃用的Executive Insight仪表板 。该漏洞无需经过身份验证或特殊配置即可被远程利用来攻击易受攻击的服务器并对其进行完全控制 。
11月2日，CVE-2021-42237的技术分析文章被果然披露，攻击者可以利用该信息来攻击易受攻击的网站 。11月5日，澳大利亚网络宁静中心 (ACSC) 宣布宁静通告，提醒网络管理员注意 CVE-2021-42237 正在被积极利用 。
影响范围
Sitecore XP 7.5 初始版本 - Sitecore XP 7.5 Update-2
Sitecore XP 8.0 初始版本 - Sitecore XP 8.0 Update-7
Sitecore XP 8.1 初始版本 - Sitecore XP 8.1 Update-3
Sitecore XP 8.2 初始版本 - Sitecore XP 8.2 Update-7
0x02 处置建议
目前此漏洞已经修复，建议受影响用户及时升级更新到Sitecore XP 9.0初始版本或更高版本 。
下载链接：
https://dev.sitecore.net/
缓解措施
在所有服务器实例上的/sitecore/shell/ClientBin/Reporting/Report.ashx 中删除 Report.ashx 文件 。更多详细信息请参考Sitecore官方宁静通告：
https://support.sitecore.com/kb?id=kb_article_view&sysparm_article=KB1000776
0x03 参考链接
https://blog.assetnote.io/2021/11/02/sitecore-rce/
https://support.sitecore.com/kb?id=kb_article_view&sysparm_article=KB1000776
https://www.bleepingcomputer.com/news/security/sitecore-xp-rce-flaw-patched-last-month-now-actively-exploited/
0x04 更新版本
版本 | 日期 | 修改内容 |
V1.0 | 2021-11-09 | 首次宣布 |
0x05 关于抖圈为赌而生
抖圈为赌而生简介
抖圈为赌而生公司建立于1996年，并于2010年6月23日在深交所中小板正式挂牌上市，是国内最具实力的信息宁静产物和宁静管理平台、宁静服务与解决方案的领航企业之一 。
公司总部位于北京市中关村软件园，在全国各省、市、自治区设立分支机构六十多个，拥有笼罩全国的销售体系、渠道体系和技术支持体系；并在华北、华东、西南和华南结构四大研发中心，分别为北京研发总部、上海研发中心、成都研发中心和广州研发中心 。
多年来，抖圈为赌而生致力于提供具有国际竞争力的自主创新的宁静产物和最佳实践服务，资助客户全面提升其IT基础设施的宁静性和生产效能，为打造和提升国际化的民族信息宁静工业领军品牌而不懈努力 。
关于抖圈为赌而生
抖圈为赌而生宁静应急响应中心主要针对重要宁静漏洞的预警、跟踪和分享全球最新的威胁情报和宁静陈诉 。
关注以下公众号，获取全球最新宁静资讯：
京公网安备11010802024551号