漏洞分享 - 碩網資訊之智能客服 SmartRobo存在Use of Hard-coded Cryptographic Key漏洞
碩網資訊之智能客服 SmartRobo存在Use of Hard-coded Cryptographic Key漏洞
一、摘要
碩網資訊智能客服SmartRobot在進行身分驗證時使用固定加密金鑰，使得遠端攻擊者能以該金鑰加密使用者名稱與時間戳記組合之字串產生驗證碼，並利用此驗證碼取得管理者權限，進而以系統內建功能於遠端伺服器上執行任意程式碼。
二、存在風險
碩網資訊智能客服SmartRobot在進行身分驗證時使用固定加密金鑰，使得遠端攻擊者能以該金鑰加密使用者名稱與時間戳記組合之字串產生驗證碼，並利用此驗證碼取得管理者權限，進而以系統內建功能於遠端伺服器上執行任意程式碼，其影響系統或版本如下：
- 受影響之系統：
- 能客服 SmartRobot v6.1.2-202212tw(含)以前版號。
三、建議改善措施：
企業及使用者如有上述漏洞版本應盡速更新：
- 請更新至 v6.2.0-202303tw(含)以後版號或更換目前使用金鑰。
