Group-Office: `AbstractSettingsCollection` में PHP असुरक्षित डिसेरियलाइज़ेशन के माध्यम से प्रमाणित रिमोट कोड एग्जीक्यूशन

Group-Office में CVE-2023-34838 भेद्यता, एक उद्यम ग्राहक संबंध प्रबंधन (CRM) और सहयोग उपकरण, दूरस्थ कोड निष्पादन (RCE) का एक गंभीर जोखिम प्रस्तुत करता है। यह दोष AbstractSettingsCollection मॉडल में निहित है, जहां सेटिंग्स का असुरक्षित डीसीरियलाइजेशन शोषण किया जा सकता है। एक प्रमाणित हमलावर एक क्रमबद्ध FileCookieJar ऑब्जेक्ट को सेटिंग स्ट्रिंग में इंजेक्ट करके सर्वर पर मनमाने ढंग से फ़ाइलें लिख सकता है। इससे सिस्टम का पूर्ण समझौता, संवेदनशील डेटा का रिसाव या सेवा से इनकार हो सकता है। प्रभावित संस्करण 6.8.156, 25.0.90 और 26.0.12 से पहले के हैं। CVSS गंभीरता स्कोर 10.0 है, जो एक महत्वपूर्ण प्रभाव दर्शाता है।

1. आरक्षित2026-03-30
2. प्रकाशित2026-04-02
3. संशोधित2026-04-03
4. EPSS अद्यतन2026-04-10

सबसे प्रभावी समाधान Group-Office को संस्करण 6.8.156, 25.0.90 या 26.0.12 में अपग्रेड करना है। इन संस्करणों में असुरक्षित डीसीरियलाइजेशन भेद्यता के लिए फिक्स शामिल है। यदि तत्काल अपग्रेड संभव नहीं है, तो अस्थायी शमन उपायों को लागू करें जैसे कि Group-Office कॉन्फ़िगरेशन तक पहुंच को केवल अधिकृत उपयोगकर्ताओं तक सीमित करना और संदिग्ध गतिविधि के लिए सिस्टम लॉग की सक्रिय रूप से निगरानी करना। सुरक्षा नीतियों की समीक्षा करें और सुनिश्चित करें कि उपयोगकर्ता दुर्भावनापूर्ण कोड के परिचय को रोकने के लिए सर्वोत्तम प्रथाओं का पालन करते हैं। अपडेट लागू करने के बाद एक व्यापक सुरक्षा ऑडिट की सिफारिश की जाती है।