Lantronix Provisioning Manager 7.10.3 被发现严重 XXE 漏洞

Lantronix Provisioning Manager 存在严重 XXE 漏洞

安全研究人员近期在 Lantronix Provisioning Manager 7.10.3 中发现了一处严重的 XML 外部实体（XXE）注入漏洞，攻击者可能利用该漏洞访问敏感数据或危害受影响的系统。该漏洞被 Exploit-DB 收录为 ID 52417，并已通过 Exploit Database 公开披露。

漏洞技术细节

该 XXE 漏洞（CWE-611）源于应用程序在处理输入时未正确限制 XML 外部实体引用。攻击者可通过提交恶意构造的 XML 输入利用此漏洞，可能导致以下后果：

• 未经授权的文件泄露（如读取敏感系统文件）
• 服务器端请求伪造（SSRF） 攻击
• 拒绝服务（DoS） 条件（通过资源耗尽）
• 远程代码执行（RCE）（在特定配置下）

该漏洞影响 Lantronix Provisioning Manager 7.10.3，这是一款广泛用于网络设备管理的平台，可用于 IT 基础设施的配置、监控与维护。目前尚未分配 CVE 编号。

影响与风险评估

XXE 漏洞因其可能绕过身份验证机制并窃取敏感数据而尤为危险。在 Lantronix Provisioning Manager 中，成功利用该漏洞可能使攻击者获取以下信息：

• 包含凭据或网络拓扑细节的 配置文件
• 包含运营数据的 系统日志
• 内部 API 或后端服务

由于该平台在管理关键网络设备中的重要作用，此漏洞对依赖 Lantronix 进行基础设施自动化的企业构成 高风险。

缓解措施与建议

Lantronix 尚未发布官方补丁。安全团队应采取以下措施：

1. 限制访问：仅允许受信任的网络访问 Provisioning Manager 界面。
2. 禁用 XML 外部实体处理：如可行，在应用程序的 XML 解析器中禁用外部实体处理。
3. 监控可疑 XML 输入：检查日志中包含 DOCTYPE 声明或外部实体引用的请求。
4. 应用网络分段：限制攻击者在利用漏洞后的横向移动。
5. 查阅 Exploit-DB ID 52417：了解技术指标（IoC）和概念验证（PoC）详情。

使用 Lantronix Provisioning Manager 的组织应优先处理此漏洞，并实施补偿控制措施，直至官方修复程序发布。后续进展将持续更新。