首页
» » <h3>启用远程管理</h3>
<
Endpoint Central 零日 RCE 漏洞
相关文章
识别并缓解 RCE 漏洞
安全公告
RCE 漏洞的影响
知识库文章
常见问题解答
什么是未认证的 RCE 漏洞 (CVE-2020-10189)?
远程代码执行 (RCE) 漏洞 (CVE-2020-10189)
允许攻击者在无需认证的情况下执行服务器上的任意代码。
如何修复此 RCE 漏洞?
根据您的具体情况,可以按照本文档中的步骤修复漏洞:
https://www.manageengine.com/products/desktop-central/rce-vulnerability-cve-2020-10189.html
我如何验证我的系统是否已被入侵?
您的系统中不应存在以下文件列表:
(i) 2.exe
(ii) logger.txt
(iii) logger.zip
(iv) mdmlogs.zip
(v) managed_mdmlogs.zip
(vi) StorSyncSvc.dll
如果上述任一文件出现在您的系统中,特别是在 C:\ManageEngine\DesktopCentral_Server\webapps\DesktopCentral\_chart 目录下,则系统已被入侵。
另外,请检查 C:\Users\Public\install.bat 是否存在“install.bat”文件。如果没有“install.bat”文件,则系统未被入侵。否则,请按照本文档中的步骤操作:
https://www.manageengine.com/products/desktop-central/rce-vulnerability-cve-2020-10189.html
确认系统被入侵后,第一步该做什么?
第一步是通过断开服务器网络连接来隔离服务器,确保服务器无法远程访问。
系统被入侵后我需要执行哪些步骤?
如果系统被入侵,请遵循以下步骤:
(i) 断开服务器网络连接以隔离服务器。
(ii) 复制在或于 2020 年 3 月 5 日之前进行的计划备份(dbbackup),并将其复制到另一台机器上。
(iii) 将计划备份复制到另一台机器后,对服务器进行格式化。
(iv) 安装 Endpoint Central EXE。(注意:新 EXE 的构建版本应该与备份的构建版本相同)。请访问以下页面获取对应的 Endpoint Central EXE:
http://archives.manageengine.com/
(v) 恢复备份并启动服务器。强烈建议在不同的硬件环境中完成此安装。了解更多信息,请访问以下页面:
https://www.manageengine.com/products/desktop-central/backup_restoration_desktop_central_server_incompatible.html
注意:如果您使用的是 MSSQL 环境,强烈建议使用计划的数据库备份进行恢复。在 MSSQL 环境中,文件系统维护在服务器机器上,而数据库数据维护在另一台机器上。因此,通过快照恢复服务器时,只有文件系统会被还原,数据库数据不会被还原。因此,强烈建议使用计划的数据库备份进行恢复。
(vi) 服务器运行稳定后,升级到最新版本。访问此链接升级至 10.0.479:
https://www.manageengine.com/products/desktop-central/service-packs.html
我的服务器没有“_chart”文件夹。这是否意味着系统未被入侵?
是的,但请检查 C:\Users\Public\install.bat 中是否存在“install.bat”文件。如果没有该文件,则系统未被入侵。否则,请按照本文档中提供的步骤操作:
https://www.manageengine.com/products/desktop-central/rce-vulnerability-cve-2020-10189.html
如何进一步保护我的服务器免受 RCE 漏洞影响?
您可以添加防火墙规则,阻止以下 IP 地址的入站和出站连接:
(i) 66.42.98.220
(ii) 74.82.201.8
(iii) 91.208.184.78
您还可以将能够访问服务器的 IP 地址加入白名单。
服务器中存在“_chart”文件夹是否总是意味着系统被入侵?这是真的吗?
是的,存在“_chart”文件夹并不总是意味着系统被入侵。该文件夹是在早期版本的 Endpoint Central 中引入的。系统只有在“_chart”文件夹中存在以下任一文件时才存在风险:2.exe、logger.txt、logger.zip、mdmlogs.zip、managedprofile_mdmlogs.zip。了解更多信息,请访问以下页面:
https://www.manageengine.com/products/desktop-central/rce-vulnerability-cve-2020-10189.html
对于带有故障转移服务器(辅助服务器)的 Endpoint Central 服务器,应遵循哪些步骤?升级到 Endpoint Central 10.0.479 版本能解决问题吗?是否有不同的步骤?
如果系统未被入侵,仅升级到 Endpoint Central 服务器 10.0.479 版本即可。否则,请遵循以下步骤:
(i) 恢复主服务器,然后移除故障转移服务器。
(ii) 恢复主服务器后,克隆主服务器以设置故障转移服务器(辅助服务器)。欲了解详情,请访问以下页面:
https://www.manageengine.com/products/desktop-central/rce-vulnerability-cve-2020-10189.html
恢复虚拟机后,似乎没有发现可疑文件。这是否意味着虚拟机不再被入侵?这是否会影响网络中的其他机器或分发服务器?
如果未找到可疑文件,则可以将 Endpoint Central 服务器升级到 10.0.479 版本。该漏洞不会影响网络中的其他机器或分发服务器。如果存在可疑文件,请断开机器网络连接,并按照本文档中的步骤操作:
https://www.manageengine.com/products/desktop-central/help/configuring_desktop_central/configuring_failover_server.html
如果上述文件出现在服务器目录中,会有什么后果?
可能发生以下情况:
(i) 可能已读取以下注册表项:
-> SystemCertificates 注册表项
-> Cryptography 注册表项
-> CurrentControlSet
(ii) 可能通过注入任意代码修改了 System32 中的 DLL 文件。
(iii) 服务器可能被远程访问而无需认证。
(iv) 管理员密码可能已泄露。
我的 Endpoint Central 服务器电脑中安装了其他 ManageEngine 产品,且无法关闭机器。该情况如何处理?
请按照以下步骤操作:
(i) 断开服务器机器的网络连接。
(ii) 将日志文件发送给 Endpoint Central 支持团队(desktopcentral-support@manageengine.com)进行分析。
(iii) 删除问题 8 中列出的恶意文件。
(iv) 升级到 Endpoint Central 10.0.479 版本。
(v) 运行完整的杀毒扫描。
我的 Endpoint Central 版本低于 10.0.479。我应该升级到 10.0.479 吗?
是的,强烈建议升级到 Endpoint Central 10.0.479 版本。
我已收到安全团队关于 RCE 漏洞的邮件提醒,但服务器目录中未发现可疑文件。我还需要升级到建议的版本吗?
是的,极其重要的是升级到 Endpoint Central 10.0.479 版本。
我的系统在升级到 Endpoint Central 10.0.479 之前已被入侵。恢复是唯一的方法吗?
如果系统在升级前被入侵,则应使用 2020 年 3 月 5 日之前创建的备份进行恢复。具体步骤如下:
(i) 断开服务器网络连接以隔离服务器。
(ii) 复制在或于 2020 年 3 月 5 日之前进行的计划备份(dbbackup),并将其复制到另一台机器上。
(iii) 将计划备份复制到另一台机器后,对服务器进行格式化。
(iv) 安装 Endpoint Central EXE。(注意:新 EXE 的构建版本应该与备份的构建版本相同)。请访问以下页面获取对应的 Endpoint Central EXE:
http://archives.manageengine.com/
(v) 恢复备份并启动服务器。强烈建议在不同的硬件环境中完成此安装。了解更多信息,请访问以下页面:
https://www.manageengine.com/products/desktop-central/backup_restoration_desktop_central_server_incompatible.html
(vi) 服务器运行稳定后,升级到最新版本。访问此链接升级至 10.0.479:
https://www.manageengine.com/products/desktop-central/service-packs.html
受信赖品牌
统一终端管理与安全解决方案
补丁管理
软件部署
终端安全
操作系统部署
资产管理
移动设备管理
工具与配置
»
补丁管理流程
»
Windows 补丁管理
»
Mac 补丁管理
»
Linux 补丁管理
»
补丁部署
»
非微软补丁部署
»
杀毒更新
»
第三方补丁管理
»
Windows 更新
»
服务包部署
»
补丁管理报告
»
软件仓库
»
软件安装
»
Windows 软件部署
»
Mac 软件部署
»
自助服务门户
»
漏洞管理与威胁缓解
»
浏览器安全
»
设备控制
»
应用控制
»
BitLocker 管理
»
高级自动化部署方法
»
硬件无关部署
»
现代光盘映像
»
Windows 10 迁移
»
远程操作系统部署
»
自定义操作系统部署
»
IT 资产管理流程
»
资产追踪
»
软件计量
»
保修管理
»
软件许可合规
»
禁止软件
»
阻止应用
»
软件资产
»
硬件资产
»
iOS 设备的移动设备管理
»
Android 设备的移动设备管理
»
Windows 设备的移动设备管理
»
移动应用管理 (MAM)
»
自带设备 (BYOD)
»
远程桌面共享
»
关机与唤醒工具
»
聊天工具
»
磁盘检查与清理
»
磁盘检查与清理
»
自定义脚本
»
USB 设备管理
»
电源管理