McAfee安全管理器允许任何用户绕过管理器的安全机制-阿里云开发者社区

开发者社区> 云栖大讲堂> 正文

McAfee安全管理器允许任何用户绕过管理器的安全机制

简介:
+关注继续查看

“特别制作的用户名”打开了招致失败的大门。 

McAfee公司的企业安全管理器(简称ESM)需要立即进行修复,而且相信睿智的大家在运营中已经知道,这是因为其中存在着管理员层级的验证回避问题。

McAfee安全管理器允许任何用户绕过管理器的安全机制

McAfee公司在其官方建议中指出,“如果企业安全管理器被配置为使用Active Directory或者LDAP”,那么“某个特别制作的用户名”能够在无需验证、亦无需输入任何密码的前提下直接绕开其安全信息&事件管理登录流程。

这意味着攻击者将能够借此访问NGCP——即在初始安装时企业安全管理器所创建的默认用户名——而不会被要求检查NGCP创建时为其分配的密码内容。

目前该bug已经被标记为CVE-2015-8024,其影响范围包括“McAfee企业安全管理器(简称ESM)、企业安全管理器/登录管理器(简称ESMLM)以及企业安全管理器/接收器(间称ESMREC)在9.3.2MR19版本之前的全部9.3.x版本,9.4.2MR9之前的全部9.4.x版本以及9.5.0MR8之前的全部9.5.x版本。当被配置使用Active Directory或者LDAP验证源时,其将允许远程攻击者通过登录‘NGCP|NGCP|NGCP;’外加任意密码绕开验证流程”,这份公告指出。

如果大家无法立即对该软件进行更新,那么目前的解决办法是在企业安全管理器当中禁用全部Active Directory以及LDAP验证源。


原文发布时间为:2015-12-08

本文作者:杨昀煦 

本文来自云栖社区合作伙伴至顶网,了解相关信息可以关注至顶网。






版权声明:本文内容由阿里云实名注册用户自发贡献,版权归原作者所有,阿里云开发者社区不拥有其著作权,亦不承担相应法律责任。具体规则请查看《阿里云开发者社区用户服务协议》和《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容,填写侵权投诉表单进行举报,一经查实,本社区将立刻删除涉嫌侵权内容。

相关文章
阿里云服务器怎么设置密码?怎么停机?怎么重启服务器?
如果在创建实例时没有设置密码,或者密码丢失,您可以在控制台上重新设置实例的登录密码。本文仅描述如何在 ECS 管理控制台上修改实例登录密码。
10099 0
企业安全管理的内外合规之ISO27001标准详解
ISO27001是内外合规中的一个案例,信息安全从业者需掌握组织建设所需的合规性的相关要求及执行要点;企业满足政府的监管要求,有效地提升组织的管理能力。
1088 0
使用IntelliJ IDEA开发SpringMVC网站(四)用户管理
原文:使用IntelliJ IDEA开发SpringMVC网站(四)用户管理 摘要 通过对用户表的管理,更加深入地讲解SpringMVC的操作。 目录[-] 文章已针对IDEA 15做了一定的更新,部分更新较为重要,请重新阅读文章并下载最新源码。
976 0
使用IntelliJ IDEA开发SpringMVC网站(五)博客文章管理
原文:使用IntelliJ IDEA开发SpringMVC网站(五)博客文章管理 摘要 通过对博客文章的管理,实现外键操作。 目录[-] 八、博客文章管理 1、查看文章 2、添加博客        3、查看博文详情 4、修改博客内容 5、删除博客文章 九、尾声         1、如何部署 2、进一步的学习 3、ENDING 转载请注明出处:Gaussic(一个致力于AI研究却不得不兼顾项目的研究生) 。
1072 0
阿里云服务器如何登录?阿里云服务器的三种登录方法
购买阿里云ECS云服务器后如何登录?场景不同,阿里云优惠总结大概有三种登录方式: 登录到ECS云服务器控制台 在ECS云服务器控制台用户可以更改密码、更换系.
13897 0
+关注
云栖大讲堂
擅长前端领域,欢迎各位热爱前端的朋友加入我们( 钉钉群号:23351485)关注【前端那些事儿】云栖号,更多好文持续更新中!
3918
文章
1754
问答
文章排行榜
最热
最新
相关电子书
更多
《2021云上架构与运维峰会演讲合集》
立即下载
《零基础CSS入门教程》
立即下载
《零基础HTML入门教程》
立即下载