当前位置：首页 > news >正文

CVE-2021-31201

news 2025/7/14 14:15:20

前言

CVE-2021-31201 是 Micro Focus Application Performance Management（APM） 产品中存在的一个 身份验证绕过漏洞，属于高危安全漏洞（CVSS 3.1 评分 9.8/10）。该漏洞允许攻击者绕过认证机制，直接访问敏感的管理接口或功能，进而可能窃取数据、执行恶意操作或横向渗透。

一、漏洞原理

漏洞核心在于 Micro Focus APM 的认证流程存在逻辑缺陷，具体表现为：

①APM 的某些 Web 服务接口（如 /api/v1/... 或管理控制台相关端点）在处理用户请求时，未正确验证用户身份。

②攻击者可通过构造特定的 HTTP 请求（如携带特殊参数、Header 或路径），绕过原本需要的用户名/密码认证，直接以“已认证”身份访问受限资源。

③该漏洞可能源于代码中认证逻辑的缺失（如未检查会话令牌、未验证用户凭证），或默认配置中存在未授权访问的接口（如调试接口、测试接口未禁用）。

二、漏洞利用方式

1. 未授权访问敏感接口：通过网络发送精心构造的 HTTP 请求（如 GET /api/v1/admin/config 或 POST /management/console），直接访问 APM 的管理接口、配置页面或监控数据。

示例请求（伪代码）：
GET /api/v1/admin/users HTTP/1.1
Host: apm-server.example.com
X-Custom-Header: bypass_auth  # 假设存在未验证的自定义Header
若 APM 未正确校验认证，该请求可能返回用户列表、配置信息等敏感数据。
2. 执行管理操作：成功绕过认证后，攻击者可进一步调用管理接口（如修改配置、重启服务、添加用户），甚至通过 APM 的代理功能（如执行系统命令）实现远程代码执行（RCE）。例如，通过 /api/v1/agent/command 接口发送恶意指令，控制 APM 代理节点执行任意命令。

3. 横向渗透与数据窃取：攻击者可利用 APM 的监控数据（如应用日志、用户行为数据）进行情报收集，或通过 APM 的网络拓扑信息定位内部关键系统，发起更深入的攻击。

三、防御方法

1. 升级到官方修复版本：Micro Focus 已发布安全补丁（具体版本需参考官方通告，如 APM 9.50/10.10 及以上版本），立即升级受影响组件 是最直接的修复方式。

2. 网络隔离与访问控制：

①限制 APM 系统的外部暴露：仅允许内部管理网络访问 APM 的 Web 接口和 API，通过防火墙、VPN 或反向代理（如 Nginx）限制源 IP。

②禁用不必要的接口：检查 APM 配置，关闭调试接口、测试接口等非生产必需的功能。

3. 强化认证与授权：

①启用 多因素认证（MFA）：为 APM 的管理账户配置短信、令牌等二次验证，防止凭证泄露后的未授权访问。

②修改默认密码：确保所有内置账户（如 admin）的密码为高强度复杂密码，并定期更换。

③实施最小权限原则：为 APM 的服务账户分配最低必要权限，避免“管理员”权限滥用。

4. 监控与审计

①开启 APM 的日志记录功能，监控 /api/v1/*、/management/* 等敏感接口的访问请求，检测异常登录（如非常规时间、非常规 IP 的访问）。

②部署入侵检测系统（IDS/IPS）：实时分析 APM 系统的网络流量，识别绕过认证的恶意请求（如携带异常 Header 的请求）。

5. 定期安全评估：对 APM 系统进行渗透测试或漏洞扫描，验证认证绕过漏洞是否已修复，并检查是否存在其他配置缺陷（如弱口令、未授权访问）。