BeyondTrust：注意远程支持软件中的预认证RCE

远程支持 (RA) 是 BeyondTrust公司推出的一款企业级远程支持解决方案，帮助IT支持团队通过远程连接到系统和设备的方式排除故障，而特权远程访问 (PRA) 是一款安全网关，确保用户仅可访问获得授权的特定系统和资源。

该漏洞是一个服务器端模板注入漏洞，编号是CVE-2025-5309，由 Resillion 公司的研究员 Jorren Geurts 在 BeyondTrust RS/PRA的聊天特性中发现。

BeyondTrust 公司在周一发布的安全公告中提到，“RS和PRA 组件未对传递给模板引擎的输入进行正确转义，导致存在潜在的模板注入漏洞。该漏洞可导致攻击者在服务器上下文中执行任意代码。值得注意的是，在RS 上下文中，无需认证即可实施利用。”

BeyondTrust 在2025年6月16日修复所有的 RS/PRA 云系统，并建议未启用自动更新的客户手动应用补丁。无法立即部署补丁的管理员可通过启用公共门户 (Public Portal) 的SAML认证，缓解漏洞利用风险。同时他们应当禁用“代表名单 (Representative List)” 和“问题提交调查 (Issue Submission Survey)” 并确保会话密钥已启用，来强制使用会话密钥。

虽然该公司并未提到该漏洞已遭在野利用，但近年来 BeyondTrust RS/PRA 漏洞已遭利用。近期，该公司在12月早期披露称攻击者使用 RS/PRA 中的两个0day漏洞（CVE-2024-12356和CVE-2024-12686）和PostgreSQL 中的一个0day漏洞（CVE-2024-1094）攻陷其系统。他们还在攻陷过程中窃取了一个 API 密钥，用于攻陷17个 RS SaaS 实例。

不到一个月之后，美国财政部披露称其网络遭攻陷。CISA 在12月19日将 CVE-2024-12356 加入其必修清单，要求美国联邦机构在一周时间内保护其网络安全。

BeyondTrust 向100多个国家的2万多名客户提供身份安全服务，其中75%的公司是全球财富100强公司。