1、 漏洞描述
近日,安全监控中心发布高危漏洞预警,使用kindeditor编辑器组件的网站,可能存在上传漏洞造成网站被植入**广告页面。本次安全事件主要由upload_json.*上传功能文件允许被直接调用从而实现上传htm,html,txt等文件到服务器,在实际已监测到的安全事件案例中,上传的htm,html文件中存在包含跳转到**网站的代码,攻击者主要针对党政机关网站实施批量上传,建议使用该组件的网站系统尽快做好安全加固配置,防止被恶意攻击。
2、 漏洞影响范围
kindeditor<= 4.1.11的版本上都存在上传漏洞,利用前提条件是默认目录下的upload_json.*文件要存在。
3、 安全建议
3.1、漏洞排查
a)检查是否是否使用kindeditor编辑器,且kindeditor.js的版本是4.1.11之前。
b)检查编辑器目录下,是否存在上传文件upload_json.*和file_manager_json.*。
a和b 2条均符合才确认漏洞存在。
3.2、 解决方案
a)升级最新版kindeditor 4.1.12。
b)临时处置建议删除直接删除upload_json.*和file_manager_json.*。