2023年04月18日以來，國家信息安全漏洞共享平臺（CNVD）向我司通報了5個漏洞。
■ 漏洞信息如下：
CNVD-C-2024-690220 KingH5Stream存在目錄遍歷漏洞
CNVD-C-2024-690290 KingH5Stream存在越權訪問漏洞
CNVD-C-2024-699029 北京亞控科技發展有限公司-KingH5Stream存在未授權訪問漏洞
CNVD-C-2024-349016 北京亞控科技發展有限公司KingH5Stream存在信息泄露漏洞
CNVD-C-2023-246769 KingSuperSCADA全組態型監控平臺存在目錄遍歷漏洞
■ 漏洞描述：
北京亞控科技發展有限公司KingH5Stream存在接口可實現目錄遍歷漏洞，攻擊者可利用該漏洞對服務器進行文件遍歷。
北京亞控科技發展有限公司KingH5Stream的未公開接口存在越權訪問漏洞，攻擊者可利用該漏洞對服務器進行越權訪問，獲得管理員權限。
北京亞控科技發展有限公司-KingH5Stream存在未授權訪問漏洞。
北京亞控科技發展有限公司KingH5Stream存在信息泄露漏洞。
北京亞控科技發展有限公司KingH5Stream存在目錄遍歷漏洞，攻擊者可利用該漏洞獲取目錄下的敏感文件。
針對上述漏洞，我司及時采取措施，對KingH5Stream版本進行漏洞驗證與修復，安全補丁文件詳情如下：
序號 | 漏洞名稱 | 發現時間 | 補丁發布時間 | 補丁文件 | 影響產品 | 修復方法 |
1 | KingH5Stream存在目錄遍歷漏洞 | 2024/9/26 | 2024/10/11 | KingH5Stream | 將conf目錄下的h5ss.conf文件內的user中的bAnonymousView改成false | |
2 | KingH5Stream存在越權訪問漏洞 | 2024/9/26 | 2024/10/11 | KingH5Stream | 將conf目錄下的h5ss.conf文件內的user中的bAnonymousView改成false | |
3 | 北京亞控科技發展有限公司-KingH5Stream存在未授權訪問漏洞 | 2024/9/26 | 2024/10/11 | KingH5Stream | 替換補丁文件即可 | |
4 | 北京亞控科技發展有限公司KingH5Stream存在信息泄露漏洞 | 2024/6/27 | 2024/10/11 | KingH5Stream | 將conf目錄下的h5ss.conf文件內的user中的bAnonymousView改成false | |
5 | KingSuperSCADA全組態型監控平臺存在目錄遍歷漏洞 | 2023/4/18 | 2024/10/11 | KingH5Stream | 將conf目錄下的h5ss.conf文件內的user中的bAnonymousView改成false |
為有效應對以上漏洞帶來的安全威脅，建議還在使用KingH5Stream 的用戶及時修復。
北京亞控科技發展有限公司
2024年10月11日
