网络监控和安全解决方案提供商Progress Flowmon最新被发现其产品存在高严重性漏洞，可能允许攻击者提升权限并无需身份验证即可访问Flowmon Web界面，从而执行任意系统命令。

据了解，Progress Flowmon是一款较为流行的网络性能监控工具，结合了性能跟踪、诊断以及网络检测与响应功能，为全球超过1500家公司所使用，其中包括世嘉、起亚、TDK、大众、Orange和Tietoevry等。

此漏洞（CVE-2024-2389）由Rhino Security Labs的研究人员发现并报告，严重性评分为10/10。攻击者可以利用这个漏洞使用特制的API请求来获取对Flowmon Web界面的远程、未经身份验证的访问，并执行任意系统命令。

Flowmon开发商Progress Software最初于4月4日发出警告，称该漏洞影响产品的v12.x和v11.x版本。该公司敦促系统管理员升级到最新版本v12.3.5和11.1.14。安全更新已通过“自动软件包下载”系统提供给启用自动更新的Flowmon用户，选择手动更新的用户可前往供应商的下载中心。应用补丁后，Progress建议同时升级所有Flowmon模块。

需要注意的是，意大利的CSIRT两周前发出警报称已经有利用程序可用。4月10日，有安全研究人员发布了关于CVE-2024-2389的有效PoC。最近Rhino Security Labs在一份研究报告中详细描述了有关该漏洞的技术细节，并且演示了攻击者如何利用该漏洞植入Webshell并提升到root权限的过程。

报告链接：6d5K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6J5K9r3W2F1L8%4y4W2j5%4g2J5K9i4c8&6L8r3q4T1M7#2)9J5k6h3y4G2L8g2)9J5c8Y4u0W2M7$3g2S2M7X3y4Z5i4K6u0r3j5%4k6W2i4K6u0V1x3U0l9J5y4q4)9J5k6o6t1K6z5o6W2Q4x3X3c8A6L8W2)9J5k6s2m8J5L8$3N6J5k6i4y4K6i4K6u0V1k6X3I4G2N6$3#2G2L8W2)9J5c8R3`.`.

编辑：左右里

资讯来源：Rhino Security Labs、Progress Flowmon官网

转载请注明出处和本文链接

[培训]科锐逆向工程师培训第53期2025年7月8日开班！