【漏洞预警】ntopng 权限绕过与任意代码执行漏洞（CVE-2021-28073/CVE-2021-28074）

发表于： 2021年3月26日 2021年3月26日
分类：阿里杂谈

2021年3月24日，阿里云应急响应中心监测到国内某安全团队公开披露 ntopng 权限绕过与任意代码执行漏洞，其CVE号为 CVE-2021-28073、CVE-2021-28074。

漏洞描述

ntopng是一款基于Web的流量分析与集流工具。2021年3月24日，阿里云应急响应中心监测到国内某安全团队公开披露 ntopng 权限绕过与任意代码执行漏洞，其CVE号为 CVE-2021-28073、CVE-2021-28074。攻击者可构造恶意请求，绕过相关认证，配合相关功能造成任意代码执行，控制服务器。ntopng官方团队已于2021年3月5日发布相关commit代码进行修复，阿里云应急响应中心提醒 ntopng 用户尽快采取安全措施阻止漏洞攻击。

漏洞复现

阿里云安全工程师已第一时间复现该认证绕过漏洞。