漏洞预警| Apache ManifoldCF 存在 LDAP 注入漏洞

棱镜七彩安全预警

近日网上有关于开源项目 Apache ManifoldCF 存在 LDAP 注入漏洞，棱镜七彩威胁情报团队第一时间探测到，经分析研判，向全社会发起开源漏洞预警公告，提醒相关安全团队及时响应。

项目介绍

Apache ManifoldCF由Java程序实现，它可以搜集保存在互联网或企业网上各种服务器里的文档或Web网页，并将其发送到搜索引擎。在搜集文档的同时还在ActiveDirectory等认证系统的协同下搜集文档的权限信息，并利用这些权限信息对其搜索结果加以限制。比如，人事档案仅限由人事部搜索时才加以显示。

项目主页

https://manifoldcf.apache.org/

代码托管地址

https://github.com/apache/manifoldcf

CVE编号

CVE-2022-45910

漏洞情况

Apache ManifoldCF 是一个具有多种连接器的多存储库爬虫框架。

Apache ManifoldCF 2.23及之前版本中由于 ActiveDirectoryAuthority.java 类没有对用户的用户名或域字符串进行有效过滤，导致 Apache ManifoldCF 的 ActiveDirectory 和 Sharepoint ActiveDirectory 权限连接器存在 LDAP 注入漏洞。攻击者可在 ManifoldCF 程序进行 LDAP 查询时注入恶意搜索字符进行 LDAP 注入攻击，从而获取对 Apache ManifoldCF 系统目录的未授权访问权限，查看或修改系统目录中的敏感文件信息或造成程序崩溃。

受影响的版本

org.apache.manifoldcf:mcf-activedirectory-connector@(-∞, 2.24)

org.apache.manifoldcf:mcf-sharepoint-connector@(-∞, 2.24)

修复方案

升级org.apache.manifoldcf:mcf-activedirectory-connector到 2.24 或更高版本

升级org.apache.manifoldcf:mcf-sharepoint-connector到 2.24 或更高版本

链接地址：

NVD - CVE-2022-45910

https://github.com/apache/manifoldcf/commit/7df176b2a73ebea2dd3e319c7e9fc68bc162bab8

https://github.com/apache/manifoldcf/commit/4bc75e6aa0cefce5e4e3c45680d543bff5f3ed73