最新消息

2023/12/14 [公告]Redwood Software 呼籲客戶下載 Cerberus FTP Server 最新的維護版本 13.2.1 版

[公告]Redwood Software 呼籲客戶下載 Cerberus FTP Server 最新版本 13.2.1

親愛的 Cerberus 用戶,
為了因應過去一年中影響其他檔案傳輸提供者的安全事件,Redwood Software(以下簡稱:原廠)顯著地提高了所有檔案傳輸產品(包括 Cerberus FTP Server)的安全狀況。最近,一位獨立網絡安全研究人員向原廠表示Cerberus FTP Server 的網頁程式中的檔案路徑存在著外洩漏洞(CVE-2023-50452*)。儘管該漏洞似乎無法被公開利用,但原廠認為有必要與所有 Cerberus 客戶發布此信息,並鼓勵客戶在原廠網頁下載最新版本 13.2.1。

發現了什麼
資安漏洞Cerberus FTP Server 版本 12.0 至 13.2 的網頁程式中的完整路徑外洩。經過身份驗證的使用者可以使用「解壓縮」(unzip)功能在錯誤情況下顯示伺服器檔案系統的完整路徑。儘管,由於複製其路徑需經過用戶身份驗證,原廠不認為該漏洞可被公開利用,但此錯誤揭示的資訊超出了必要的範圍。Cerberus FTP Server 最新版本 13.2.1 已調整此錯誤,僅提供伺服器檔案位置的相對路徑,透過消除任何潛在風險進一步加強整體安全性。

有客戶受到影響嗎
原廠所知,由於沒有已知的漏洞,因此對客戶沒有影響。但是,原廠謹遵對客戶安全的承諾,強烈建議客戶下載最新版本 13.2.1

何處下載最新版本 13.2.1
您可以按照原廠說明下載最新版本 13.2.1。 這將修改「解壓縮」(unzip)函數錯誤訊息,僅提供伺服器檔案位置的相對路徑

最新版本 13.2.1 - 發布於 2023/12/13
.改進:增強了公共共享管理的 UI
改進:在公共共享的管理頁面中添加一次性密碼自動解鎖功能
改進:添加了取得/發送文件日誌的文件大小
改進:更正了升級到 Bootstrap 5.3.1 版本後 Web 用戶端 2FA UI 頁面的外觀和佈局
改進:在 Web 用戶端登入頁面中,登入表單和歡迎訊息面板適當加寬
改進:更改管理員密碼現在需要目前的主管理員驗證
改進:首次設定精靈現在在尚未設定時需要管理員密碼
改進:改進的安全警告:摘要頁面現在對非 SSL LDAP 身份驗證發出警告
修正:經過驗證的使用者遠端完整路徑外洩(CVE-2023-50452)
.修正:公共共享下載按鈕
修正:在客戶端和公共共享的資料夾視圖中導航目錄時重置選取所有框
修正:修復 SSH 用戶端發送大小不正確的封包進行金鑰交換時崩潰的問題
修正:產生 SSH 相容的 DSA 主機金鑰
修正:在 FIPS 模式下停用 SSH DSA 主機金鑰
修正:從 JS 和 CSS 檔案中刪除了來源映射引用
修正:SAML SSO 現在使用回覆 URL 進行 SSO 配置選擇,修正了多個 SSO 配置使用相同身分驗證失敗問題
修復:SOAP 無法完成服務重啟

產品網頁:https://www.ahasoft.com.tw/page/product/show.aspx?num=1329&kind=1241&page=1&lang=TW