KnowSafe 安全预警：MantisBT <= 2.3.0 任意密码重置漏洞（CVE-2017-7615）

KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2017-7615 的安全漏洞（危害等级：高危）已公开披露，相关用户应尽快排查并完成修复。

漏洞介绍

MantisBT是基于Web的bug跟踪系统。

MantisBT verify.php存在任意密码重置漏洞，允许远程攻击者利用漏洞提交特殊的请求重置任意密码，未授权访问。

影响范围

应用：mantisbt mantisbt（影响面 Up to (including) 2.3.0）

系统：debian DPKG（影响面 Up to (excluding) 0）

解决方案

用户可参考如下厂商提供的安全补丁以修复该漏洞：

https://www.mantis.com/

参考信息

http://hyp3rlinx.altervista.org/advisories/MANTIS-BUG-TRACKER-PRE-AUTH-REMOTE-PASSWORD-RESET.txt

http://packetstormsecurity.com/files/159219/Mantis-Bug-Tracker-2.3.0-Remote-Code-Execution.html

http://www.openwall.com/lists/oss-security/2017/04/16/2

http://www.securityfocus.com/bid/97707

https://mantisbt.org/bugs/view.php?id=22690

KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。