【漏洞预警】ServiceNow Glide表达式注入漏洞CVE-2024-5217

cexlife 飓风网络安全 2024-07-12 18:54

漏洞描述:

ServiceNow是一个商业的软件平台,专注于企业的数字化工作流和IT服务管理（ITSM）,ServiceNow Glide是ServiceNow 平台中的一组API和工具,用于在服务门户中创建服务请求和脚本,受影响版本中,由于GlideExpressionScript类未对用户可控的代码有效过滤,未经授权的远程攻击者可在向/login.do 接口传入包含恶意表达式的jvar_page_title参数远程执行任意代码。影响范围:servicenow@(-∞, Utah Patch 10a Hot Fix 2)servicenow@(-∞, Utah Patch 10b Hot Fix 1)servicenow@(-∞, Vancouver Patch 6 Hot Fix 2)servicenow@(-∞, Vancouver Patch 7 Hot Fix 3b)servicenow@(-∞, Vancouver Patch 8 Hot Fix 4)servicenow@(-∞, Vancouver Patch 9 Hot Fix 1)servicenow@(-∞, Vancouver Patch 10)servicenow@(-∞, Washington DC Patch 1 Hot Fix 3b)servicenow@(-∞, Washington DC Patch 2 Hot Fix 2)servicenow@(-∞, Washington DC Patch 3 Hot Fix 2)servicenow@(-∞, Washington DC Patch 4)servicenow@(-∞, Washington DC Patch 5)修复方案:将组件 servicenow 升级至 Washington DC Patch 2 Hot Fix 2 及以上版本将组件 servicenow 升级至 Washington DC Patch 5 及以上版本将组件 servicenow 升级至 Utah Patch 10a Hot Fix 2 及以上版本将组件 servicenow 升级至 Vancouver Patch 8 Hot Fix 4 及以上版本将组件 servicenow 升级至 Vancouver Patch 9 Hot Fix 1 及以上版本将组件 servicenow 升级至 Vancouver Patch 10 及以上版本将组件 servicenow 升级至 Washington DC Patch 3 Hot Fix 2 及以上版本将组件 servicenow 升级至 Washington DC Patch 4 及以上版本将组件 servicenow 升级至 Utah Patch 10b Hot Fix 1 及以上版本将组件 servicenow 升级至 Vancouver Patch 6 Hot Fix 2 及以上版本将组件 servicenow 升级至 Vancouver Patch 7 Hot Fix 3b 及以上版本将组件 servicenow 升级至 Washington DC Patch 1 Hot Fix 3b 及以上版本参考链接:https://support.servicenow.com/kb?id=kb_article_view&sysparm_article=KB1648313