【墨菲安全漏洞预警】livehelperchat ＜ 3.9.6 存在 SSRF 漏洞

原创于 2022-03-31 19:39:57 发布 · 2.4k 阅读

2 ·

本内容遵循CC 4.0 BY-SA版权协议

收录于

墨菲安全实验室漏洞预警

墨菲安全实验室报告了LiveHelperChat的一个高危SSRF漏洞（MPS-2022-7057），版本3.9.6以下易受攻击。攻击者可利用CSS参数进行内网扫描。建议升级至3.9.6及以上以保障安全。

漏洞发现时间	2022-03-31
标题	livehelperchat < 3.9.6 存在 SSRF 漏洞
漏洞编号	MPS-2022-7057
发现方式	墨菲安全实验室情报预警监控
语言	php
影响组件及版本	livehelperchat （影响版本：3.9.6 以下版本）
漏洞描述	livehelperchat 是一个提供实时聊天能力的项目。 livehelperchat 中请求 GET 请求获取的 css 参数的url，但并没有对 css 参数进行安全性验证，导致可通过构造 css 参数实现 SSRF 攻击。攻击者可利用该漏洞进行内网扫描。
漏洞类型	SSRF 漏洞
排查方式	获取 livehelperchat 版本，判断其版本 < 3.9.6
处置建议	官方已发布 3.9.6 版本，请升级到最新版本
漏洞评分	7.2
参考链接	https://github.com/LiveHelperChat…… https://github.com/LiveHelperChat……

使用墨菲安全的开源工具帮您快速检测代码安全

开源地址：https://github.com/murphysecurity/

产品官网：https://murphysec.com

一、墨菲安全开源CLI工具

使用CLI工具，在命令行检测指定目录代码的开源组件依赖安全问题

工具地址：https://github.com/murphysecurity/murphysec

具体使用方式可参考项目 README 或官方文档

二、墨菲安全 IDE 插件

在IDE 中即可检测代码依赖的安全问题，并通过准确的修复方案和一键修复功能，快速解决安全问题。

使用方式：

IDE插件中搜索“murphysec”即可安装
选择“点击开始扫描”，即可检测出代码中存在哪些安全缺陷组件
点击“一键修复”，即可对检测出来的漏洞进行一键修复

三、GitLab全量代码检测

使用基于墨菲安全CLI的检测工具，快速对您的GitLab上所有项目进行检测

工具地址：https://github.com/murphysecurity/murphysec-gitlab-scanner

具体使用方式可参考项目 README

以上几种检测方式均可在墨菲安全平台上查看详细的检测结果，并可以查看项目的直接或间接依赖信息。

关于墨菲安全

墨菲安全是一家为您提供专业的软件供应链安全管理的科技公司，能力包括代码安全检测、开源组件许可证合规管理、云原生容器安全检测、软件成分分析(SCA)等，丰富的安全工具助您打造完备的软件开发安全能力(DevSecOps)。产品支持SaaS、私有化部署，目前已服务多家互联网、金融、人工智能、IOT行业头部企业客户，公司核心团队来自百度、华为等企业，拥有超过十年的企业安全建设、安全产品研发及安全攻防经验。