迁移工具中的未授权 RCE

该 RCE 漏洞允许攻击者在受影响的 openEuler migration-tools 系统上执行任意命令。攻击者可以利用此漏洞获取系统访问权限，窃取敏感数据，甚至完全控制受影响的系统。由于该漏洞涉及特权提升，攻击者可能能够绕过安全控制，并以更高的权限执行操作。攻击者可以利用此漏洞进行横向移动，攻击网络中的其他系统，扩大攻击范围。该漏洞的潜在影响非常严重，可能导致数据泄露、系统中断和业务损失。

Systems running openEuler with the migration-tools component versions 1.0.0-1.0.1 are at direct risk. Shared hosting environments and systems with exposed migration-tools interfaces are particularly vulnerable due to the ease of exploitation.

• linux / server:

journalctl -u migration-tools | grep -i "command injection"

• linux / server:

ps aux | grep -i "index.Py"

• generic web:

curl -I <affected_system_ip>/index.Py | grep -i "OS command"

1. 2024-03-25Disclosure

   disclosure

1. 已保留2024-02-01
2. 发布日期2024-03-25
3. 修改日期2024-08-01
4. EPSS 更新日期2026-04-02

为了减轻 CVE-2024-24892 的影响，建议用户立即升级到 openEuler migration-tools 1.0.2 或更高版本。如果无法立即升级，可以考虑实施以下缓解措施：限制对 migration-tools 的访问权限，仅允许授权用户访问；审查 migration-tools 的配置，确保其遵循安全最佳实践；实施网络分段，将 migration-tools 与其他关键系统隔离；监控 migration-tools 的日志，检测可疑活动。升级后，请验证 migration-tools 是否已成功更新，并确认漏洞已得到修复。