🔴 严重 | CVE-2024-14037 — Redsea Cloud eHR contains an arbitrary file upload...

发布于：2026/07/03更新于：2026/07/10📖 9分钟👁️ 4 次阅读

🔴 【深度分析】严重安全漏洞：CVE-2024-14037

CVSS 评分: 严重（9.3）🔴　　状态: Deferred　　发布时间: 2026-07-02

🔍 技术细节速览

字段	值
CVE ID	`CVE-2024-14037`
CVSS 评分	9.3 🔴
严重程度	严重
CVSS 向量	`CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X`
CWE 分类	`CWE-434`
发布时间	2026-07-02
最后更新	2026-07-02
状态	Deferred
数据来源	disclosure@vulncheck.com

⚠️ CVSS 4.0 评分：9.3（严重）
危害等级：紧急
攻击向量：网络（AV:N）
攻击复杂度：低（AC:L）
所需权限：无（PR:N）
用户交互：无（UI:N）
影响范围：机密性、完整性、可用性均为高（VC:H/VI:H/VA:H）

漏洞概述

CVE-2024-14037 是存在于 Redsea Cloud eHR 人力资源管理系统中的一个严重安全漏洞。该漏洞涉及一个 任意文件上传 问题，位于 PtFjk.mob 服务端点。未经身份认证的远程攻击者可以利用该漏洞，通过构造特殊的 HTTP 请求上传恶意文件（如 JSP 木马），进而实现 远程代码执行（RCE）。攻击者无需任何前置权限，且攻击复杂度低，利用门槛极低。

该漏洞的实际利用行为已于 2024年11月3日 被 Shadowserver Foundation 首次监测到，表明该漏洞正被积极利用于真实攻击中。

影响范围： 所有未修复的 Redsea Cloud eHR 版本。

受影响组件与版本

组件	受影响版本
Redsea Cloud eHR	所有未打补丁的版本（具体版本号 NVD 尚未披露，但建议假设所有版本均受影响）

说明：漏洞位于 PtFjk.mob Servlet 端点，该端点属于 Redsea Cloud eHR 系统核心应用模块。由于 NVD 状态为 Deferred，暂未公布详细受影响的版本列表，但根据利用时间推测，该漏洞影响范围较广。

漏洞原理分析

攻击向量与技术细节

该漏洞属于 CWE-434：Unrestricted Upload of File with Dangerous Type（不受限制地上传危险类型文件）。

具体成因：

无验证的上传接口
PtFjk.mob 端点接收 HTTP multipart 格式的 POST 请求，用于文件上传功能。关键缺陷在于：该端点未对上传文件的扩展名和 MIME 类型进行任何校验。
MIME 类型欺骗绕过
攻击者可将 JSP 木马（.jsp 文件）伪装成图片（如 Content-Type: image/jpeg）上传。由于系统仅检查客户端提供的 MIME 类型，而不实际校验文件真实内容，因此该伪造 MIME 类型的攻击将轻松通过服务器的“检查”。
可预测的存储路径
上传的文件被存储到 uploadfile 目录下，且路径结构简单、可预测。攻击者无需猜测目录结构，即可准确构造访问 URL。
Web 服务器直接执行
若上传的 JSP 文件被存储到 Web 容器（如 Apache Tomcat、Jetty 或 JBoss）的公开目录中，服务器会将其解释为动态 Web 脚本，自动编译并执行其中的 Java 代码，从而实现远程代码执行。

攻击流程概要

攻击者 --> HTTP POST /PtFjk.mob (multipart)
            ├─ 文件内容: <恶意 JSP webshell 代码>
            └─ Content-Type: image/jpeg (伪造)
    |
    v
服务器存储文件至 uploadfile/<filename>.jsp
    |
    v
攻击者访问 /uploadfile/<filename>.jsp
    |
    v
Web 容器解析 JSP ==> 任意系统命令执行

影响评估

维度	评估
攻击复杂度	极低。仅需发送一个构造好的 HTTP POST 请求。
所需权限	无（PR:N），任何可以访问该 Web 服务的用户均可发起攻击。
用户交互	无（UI:N），攻击完全自动化。
利用条件	目标系统公网可达或内网可访问 Web 服务即可。
攻击复杂度（AT:N）	绕过技术简单，无防护措施即可实现。
潜在后果	攻击者可获得系统完整控制权：
	- 查看、篡改所有数据（机密性、完整性受损）
	- 执行任意系统命令（可用性受损）
	- 横向移动扩散攻击
	- 植入后门、勒索软件等

⚠️ 现实威胁：已观察到野外利用，攻击窗口极短，应立即应急修复。

修复建议

✅ 官方补丁

密切关注厂商更新公告，该漏洞状态为 Deferred，厂商尚未发布正式补丁。若获得补丁（如版本更新），请优先升级至最新版本。
若无可用补丁，建议联系 Redsea 官方技术支持获取缓解补丁或版本指导。

🛡️ 临时缓解措施（在补丁发布前强制实施）

禁用可疑端口
如果 PtFjk.mob 端点非业务必须，可在 Web 服务器层面（如 Nginx、Apache、IIS 或反向代理）添加规则，阻止对 /PtFjk.mob 路径的访问。
```
location /PtFjk.mob {
    deny all;
    return 403;
}
```
加强上传目录执行权限
禁止 Web 容器对 uploadfile 目录下的文件执行脚本（以 Tomcat 为例，修改 context.xml 中的 <Context> 设置，添加 addWebinfClassesResources="false"，并可移除此目录的 JSP 执行能力）。

⚠️ 此方法仅针对部分 Web 容器有效，核心仍需修复应用程序本身。
WAF/IPS 规则阻断
在 Web 应用防火墙（WAF）中添加自定义规则：
- 拒绝 Content-Type 为 image/jpeg 但文件扩展名为 .jsp、.php、.war 等的上传请求。
- 拒绝 multipart 表单中包含 <%、Runtime、ProcessBuilder 等敏感关键字的上传请求。
文件类型校验
在应用层，不要仅依靠客户端 MIME 类型，必须对上传文件进行真实的魔数（Magic Number）校验，如 image/jpeg 应以 0xFFD8FF 开头。若不匹配，拒绝上传。
网络隔离
如果系统无法立即修复，应将 Redsea Cloud eHR 从公网下线，或置于严格的内部访问控制之下，仅允许受信任 IP 访问。

参考资料

NVD 官方详情页
https://nvd.nist.gov/vuln/detail/CVE-2024-14037
CWE 分类
CWE-434: Unrestricted Upload of File with Dangerous Type
漏洞发现与利用报告
Shadowserver Foundation – 2024-11-03 首次观察利用活动
VulnCheck 披露 – disclosure@vulncheck.com
CVSS v4.0 计算器
https://www.first.org/cvss/calculator/4.0#CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

📌 最后行动建议
该漏洞 CVSS 评分 9.3（严重），且已有野外利用。安全团队应立即根据上述修复建议采取行动，尤其是防火墙阻断与 WAF 规则，并在厂商补丁发布后第一时间升级系统。在完成修复前，请将系统从公网隔离，避免成为攻击目标。

💬 评论