MeterSphere 未授权访问漏洞（CVE-2023-38494） [有POC]

漏洞类型	未授权敏感信息泄露	发现时间	2023/8/5	漏洞等级	中危
MPS编号	MPS-gxew-hdmv	CVE编号	CVE-2023-38494	漏洞影响广度	小

目录隐藏

2 影响范围

3 处置方案

4 排查方式

漏洞危害

OSCS 描述

在 webapp、standalone 版本中使用了 commons-beanutils 组件来进行对象反序列化。由于commons-beanutils中存在一个通过 RMI 执行远程代码的类，攻击者通过构造的恶意序列化数据，发送到目标系统上的 RMI 服务端口（默认为1099端口）或发送到 RMI-over-HTTP 路径（默认路径为”/rmi”）。当目标系统反序列化数据时，将会执行恶意代码。
参考链接：https://www.oscs1024.com/hd/MPS-gxew-hdmv

GitHub 官方库描述

Cloud 版 MeterSphere 部分接口没有配置权限，被攻击者攻击泄露敏感数据
参考链接：https://github.com/metersphere/metersphere/security/advisories/GHSA-fjp5-95pv-5253

影响范围

OSCS

io.metersphere:metersphere-sdk@(-∞, 2.10.4)
io.metersphere:metersphere-project-management@(-∞, 2.10.4)
io.metersphere:metersphere-system-setting@(-∞, 2.10.4)
参考链接：https://www.oscs1024.com/hd/MPS-gxew-hdmv

GitHub

MeterSphere < 2.10.4-LTS
参考链接：https://github.com/metersphere/metersphere/security/advisories/GHSA-fjp5-95pv-5253

处置方案

OSCS 平台处置参考
升级版本	将组件 io.metersphere:metersphere-sdk升级到 2.10.4 或更高版本将组件 io.metersphere:metersphere-project-management升级到 2.10.4 或更高版本将组件 io.metersphere:metersphere-project-management升级到 2.10.4 或更高版本将组件 io.metersphere:metersphere-system-setting 升级到 2.10.4 或更高版本
参考链接	https://www.oscs1024.com/hd/MPS-gxew-hdmv

GitHub 官方库处置参考
升级版本	将MeterSphere升级到2.10.4或更高版本
参考链接	https://github.com/metersphere/metersphere/security/advisories/GHSA-fjp5-95pv-5253