Bitdedender企业版安全软件发现缺陷

　　安全软件公司比特梵德(Bitdefender) 的Gravity企业端点安全保护平台最近爆出缺陷， 黑客可以通过后门进入企业内网。

　　安全咨询公司SEC Consult漏洞实验室的研究人员Stefan Wehbock说：“这一缺陷存在于最新版的Bitdefender的GravityZone中。 使得黑客可以通过网络进入企业内网。 黑客能够完全攻破这一软件， 获取系统和数据库级的访问权限。 此外， 通过这个缺陷， 黑客甚至可以接管所有的端点”

　　Gravity存在着三个漏洞。 其中一个是存在无须认证的通过Web界面进行本地文件访问的功能。 这样使得攻击者只要具有nginx用户权限， 就能够读取服务器上的任何文件， 包括明文密码文件。 这个漏洞目前Bitdefender已经发布了补丁。

　　还有一个漏洞是对一个Web用户可执行的脚本未经认证， 从而使得攻击者可能获取管理员权限。 这个漏洞也已经打上了补丁.

　　第三个缺陷是其后台MongoDB的数据库存在硬编码用户名和密码。 这个用户可以访问数据和数据库配置文件。 并且这一硬编码用户无法删除或修改密码。 这样的硬编码对IT公司不少见(参见本站的文章 史上12大著名安全后门植入案例)， 不过作为安全公司的产品存在这样的漏洞就说不过去了。

　　Bitdefender计划在7月底之前对这个漏洞发布补丁， 在此之前， 建议用户停用该系统。直到厂商发布补丁并且补丁经过充分测试后再加以使用。