CVE-2019-19033：Jalios JCMS 10 后门账户 / 认证绕过

I. 漏洞

Jalios JCMS 10 允许攻击者通过一个后门账户（可使用任意用户名和特定密码）以管理权限访问网站的任何部分以及 WebDAV 服务器。

II. CVE 参考

CVE-2019-19033

III. 供应商

Jalios (https://www.jalios.com/jcms/j_6/en/home)

IV. 时间线

2019年11月8日 - 发现漏洞

2019年11月9日 - 联系供应商

2019年11月14日 - 供应商修复漏洞

V. 描述

“webdav”文件夹使用HTTP认证，可通过后门账户绕过。这使得攻击者能够以管理员身份访问网站，然后创建更多管理员用户、更改任意用户名的密码、删除用户名、创建组、下载所有用户列表（包括电子邮件地址、电话号码、全名等）。还可以在WebDAV服务器上上传或覆盖任意文件。“webdav”文件夹默认位于网站根目录。这是由于默认安装的“DevTools”插件存在漏洞版本所致。

VI. 影响

9.8 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H)

VII. 解决方案

可能的解决方案：

• 禁用 DevToolsAuthenticationHandler
• 禁用或卸载 DevTools 插件。
• 将 DevTools 插件升级到 7.1 或 8.1 版本

VIII. 参考

• CVE页面: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-19033

• NIST页面: https://nvd.nist.gov/vuln/detail/CVE-2019-19033

• 公开披露: https://packetstormsecurity.com/files/155419/Jalios-JCMS-10-Backdoor-Account-Authentication-Bypass.html

• Jalios公开问题: https://issues.jalios.com/browse/DTP-58