严重的 ConnectWise ScreenConnect 漏洞已修复，尽快修补！

ConnectWise 修复了 ScreenConnect 中的两个漏洞，这些漏洞可能允许攻击者执行远程代码或直接影响机密数据或关键系统。

该公司表示：“没有证据表明这些漏洞已被广泛利用，但内部合作伙伴必须立即采取行动，解决这些已识别的安全风险。”

关于 ConnectWise ScreenConnect
ConnectWise ScreenConnect（以前称为 ConnectWise Control，最近更改为原始名称）是一种远程桌面软件解决方案，深受托管服务提供商及其提供服务的企业以及帮助台团队的欢迎。

该产品作为云托管软件即服务提供，也可以由组织作为自托管服务器应用程序部署（在云中或本地）。当用户需要远程协助时，系统会指示他们通过访问 URL 并下载客户端软件来加入会话。

ConnectWise ScreenConnect 也是流行的技术支持诈骗者和其他网络犯罪分子，包括勒索软件团伙。

2022 年末，ConnectWise禁用了云托管服务试用帐户的自定义功能，以防止诈骗者创建品牌支持门户并诱骗员工加入恶意远程访问会话。

关于漏洞
这两个漏洞（目前没有 CVE 编号）影响 ScreenConnect 23.9.7 及更早版本，归类为：

• 使用备用路径或通道绕过身份验证
• 对受限制目录的路径名的不正确限制（“路径遍历”）

它们于 2024 年 2 月 13 日通过公司的漏洞披露渠道进行报告。

尽管目前没有证据表明这些漏洞已被利用，但 ConnectWise 表示，它们被利用的风险较高。

该公司表示：“自托管或本地部署的合作伙伴需要立即将其服务器更新到版本 23.9.8 以应用补丁。 ”

“ConnectWise 还将针对关键问题提供 22.4 至 23.9.7 版的更新版本，但强烈建议合作伙伴更新到 ScreenConnect 版本 23.9.8。”