禅道漏洞

禅道这个项目管理系统，禅道漏洞最近被捅出一个挺有意思的禅道漏洞洞。不是禅道漏洞SQL注入，也不是禅道漏洞什么远程代码执行，而是禅道漏洞它自带的后台文件上传功能，在默认配置下就能被直接打穿。禅道漏洞攻击者只要拿到一个低权限账号，禅道漏洞甚至某些版本连账号都不用，禅道漏洞就能往服务器上丢一个Webshell。禅道漏洞

这事发生在2024年10月，禅道漏洞漏洞编号是禅道漏洞CNVD-2024-42879。禅道官方很快发了补丁，禅道漏洞但问题在于——很多企业用的禅道漏洞是开源版，或者内网部署后根本不更新。禅道漏洞我见过不少公司，禅道漏洞禅道一装就是三四年，版本号停在17.x，而漏洞影响范围恰好覆盖了18.0之前的全部版本。你说巧不巧。

具体怎么利用的？核心在于禅道的前端上传接口，它对文件类型校验不严。开发者本意是允许上传图片附件，但实际过滤逻辑只检查了HTTP头里的Content-Type，没验证文件真实内容。攻击者把PHP代码伪装成GIF图片，后缀改成.jpg，上传后系统还会自动重命名。但重命名规则里有个参数可以控制，用路径穿越的方式，最终把文件写到web根目录下的可执行目录。

整个过程不需要什么高深技巧。网上甚至有人写了自动化脚本，输入目标URL，回车，三秒钟后返回一个带密码的菜刀连接。我拿自己搭的测试环境试了一下，确实如此。更讽刺的是，禅道后台本身有“文件管理”功能，管理员能看到上传记录，但日志里显示的是正常图片名，攻击者上传的恶意文件被伪装成“产品截图.png”。

这个漏洞最恶心的地方在于——它不需要交互。攻击者不用骗管理员点链接，不用诱导任何人操作，只要目标禅道系统暴露在公网，且版本没更新，就能直接拿下服务器。这跟那种需要钓鱼的漏洞完全不是一个量级。我认识一个做安全运维的朋友，他所在的公司就被打了一次，对方上传了挖矿程序，CPU占用飙到100%，他们排查了两天才发现是禅道的问题。

修复方案倒不复杂，升级到18.3以上版本就行。但很多企业不敢随便升级，因为禅道跟内部流程绑定太深，升级可能影响现有项目数据。于是他们选择加防火墙规则，只允许内网IP访问后台。这招能挡一部分攻击，但假如攻击者已经通过其他方式进了内网呢？那这个漏洞就变成内网横向移动的跳板了。

说句实在话，禅道这种工具型软件，安全投入一直不够。它不像银行系统那样有严格的安全审计，也不像云平台那样有专门的红队测试。很多中小公司拿它当免费项目管理工具，用起来顺手，却没人想过它会成为攻击入口。这漏洞暴露的不只是禅道的问题，更是整个国产开源软件生态在安全上的普遍短板——功能迭代快，安全测试跟不上。

我给个个人建议：如果你公司还在用禅道，别管什么业务连续性了，先查版本号。低于18.3的，立刻计划升级。如果实在没法升，至少把后台登录改成双因素认证，再配上访问IP白名单。别嫌麻烦，等服务器被种了后门再后悔，那才叫真麻烦。