超危
Cleo多款产品文件上传漏洞(CVE-2024-55956)
2024-12-13 00:00:00 公开 ，2026-08-05 05:08:12 更新
- 勒索软件漏洞
- CISA KEV
- 关键漏洞
- CWE Top 25 (2023)
- 远程
- 无需认证
- CWE Top 25 (2024)
- 公开PoC
- SSVC：
- 可利用状态：已被积极利用攻击自动化：否技术影响评估：全部 2024-12-16 08:00:00
风险信息
- CVSS v3.1 向量
- AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
- CVSS v3.1 风险值
- 9.8
详细信息
- 漏洞类型
- 其他
- 漏洞描述
- Cleo LexiCom等都是Cleo公司的产品。Cleo LexiCom是一个集成平台。Cleo Harmony是一个文件集成解决方案。Cleo VLTrader是一个安全托管文件传输软件。Cleo多款产品存在安全漏洞，该漏洞源于未经身份验证的用户可以利用Autorun目录的默认设置，在主机系统上导入和执行任意Bash或PowerShell命令。以下产品及版本受到影响：Cleo Harmony 5.8.0.24之前版本、VLTrader 5.8.0.24之前版本和LexiCom 5.8.0.24之前版本。
- 修复建议
- 当前厂商已发布了补丁信息，请及时关注更新： https://support.cleo.com/hc/en-us/articles/28408134019735-Cleo-Product-Security-Update-CVE-2024-55956
参考链接
- https://support.cleo.com/hc/en-us/articles/28408134019735-Cleo-Product-Security-Advisory-CVE-Pending
CVE · Vendor Advisory
- https://support.cleo.com/hc/en-us/articles/28408134019735-Cleo-Product-Security-Update
NVD · Vendor Advisory
- https://www.huntress.com/blog/threat-advisory-oh-no-cleo-cleo-software-actively-being-exploited-in-the-wild
NVD · Exploit · Third Party Advisory
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2024-55956
NVD · US Government Resource