Tenable发现WhatsUp Gold 24.0.1之前版本存在严重漏洞CVE-2024-8785，该漏洞CVSS评分高达9.8，允许未经身份验证的远程攻击者利用NmAPI.exe中的注册表重写漏洞执行远程代码。攻击者可通过操纵注册表路径，在Ipswitch服务控制管理器重启时注入恶意进程，最终以系统权限执行任意代码，完全控制目标系统。该漏洞可能导致系统被完全控制，并成为更大范围网络攻击的入口点。Progress已在WhatsUp Gold 24.0.1版本中修复该漏洞，强烈建议用户尽快升级以降低风险。

🤔 **漏洞描述：**Tenable发现WhatsUp Gold 24.0.1之前版本存在严重漏洞CVE-2024-8785，该漏洞允许未经身份验证的远程攻击者通过NmAPI.exe中的注册表重写漏洞执行远程代码（RCE），CVSS评分高达9.8，风险极高。

💻 **漏洞利用过程：**攻击者可利用NmAPI.exe的UpdateFailoverRegistryValues操作修改注册表路径，将InstallDir路径重定向到攻击者控制的网络共享，并在Ipswitch服务控制管理器重启时加载恶意清单文件，例如WhatsUpPlatform-PluginManifest.xml。

⚠️ **漏洞影响：**攻击者可通过操纵清单文件注入恶意进程，并以系统权限执行任意代码，从而完全控制受影响系统，使其成为更大范围网络攻击的跳板。

🛡️ **解决方案：**Progress已在WhatsUp Gold 24.0.1版本中修复了该漏洞，强烈建议用户尽快升级到最新版本，以降低安全风险。

Tenable的最新漏洞分析揭露了WhatsUp Gold 24.0.1之前版本中的一个严重缺陷，CVE-2024-8785。该漏洞的CVSS评分高达9.8，未经身份验证的远程攻击者可以利用NmAPI.exe中的注册表重写漏洞实现远程代码执行（RCE）。NmAPI.exe是一个Windows通信基础（WCF）应用程序，是此次漏洞的核心。它实现了UpdateFailoverRegistryValues操作，允许更新特定的注册表值。然而，Tenable的报告强调了这一重大缺陷：“未经身份验证的远程攻击者可以通过netTcpBinding在net.tcp://<目标主机>:9643上调用UpdateFailoverRegistryValues操作。”该操作允许攻击者修改HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Ipswitch\下的注册表路径，包括InstallDir路径。通过将路径重定向到攻击者控制的网络共享，例如\<攻击者ip>\share\WhatsUp，他们可以在Ipswitch服务控制管理器服务重启时利用该服务。当Ipswitch服务控制管理器服务重启时——通常在系统重启或更新后——它会从攻击者控制的主机读取像WhatsUpPlatform-PluginManifest.xml这样的清单文件。攻击者可以操纵这些清单文件以注入恶意进程。例如，正如Tenable所描述的，“攻击者可以在WhatsUpPlatform-PluginManifest.xml中添加一个<ServerProcess>元素来启动一个攻击者控制的可执行文件。”通过这样做，攻击者获得了以系统权限执行任意代码的能力，从而完全控制了目标系统。CVE-2024-8785的后果是严重的：攻击者可以在不需要身份验证的情况下完全控制系统。被攻陷的系统可能成为更广泛网络渗透的入口点。依赖受影响版本WhatsUp Gold的组织面临重大的运营和安全风险。Progress已经在WhatsUp Gold 24.0.1版本中解决了这个漏洞。强烈建议用户立即升级，以减轻风险。