轉發 台灣電腦網路危機處理暨協調中心 TWCERTCC-200-202504-00000004
[內容說明]
桓基科技 iSherlock近期遭揭漏之重大資安漏洞皆為OS Command Injection，分述如下：
【桓基科技 iSherlock - OS Command Injection】(CVE-2025-3361，CVSS：9.8) 桓基科技iSherlock之網頁介面存在 OS Command Injection漏洞，允許未經身分鑑別之遠端攻擊者注入任意作業系統指令並於伺服器上執行。
【桓基科技 iSherlock - OS Command Injection】(CVE-2025-3362，CVSS：9.8) 桓基科技iSherlock之網頁介面存在 OS Command Injection漏洞，允許未經身分鑑別之遠端攻擊者注入任意作業系統指令並於伺服器上執行。
【桓基科技 iSherlock - OS Command Injection】(CVE-2025-3363，CVSS：9.8) 桓基科技iSherlock之網頁介面存在 OS Command Injection漏洞，允許未經身分鑑別之遠端攻擊者注入任意作業系統指令並於伺服器上執行。
[影響平台]
● iSherlock 4.5與iSherlock 5.5(包含 MailSherlock , SpamSherock, AuditSherlock)
● iSherlock-user-4.5：236(不含)以前版本
● iSherlock-user-5.5：236(不含)以前版本
[建議措施]
● iSherlock 4.5更新iSherlock-user-4.5套件至236(含)以後版本
● iSherlock 5.5更新iSherlock-user-5.5套件至236(含)以後版本
[參考資料]
1. 桓基科技 iSherlock - OS Command Injection：https://www.twcert.org.tw/tw/cp-132-10051-76634-1.html
2. 桓基科技 iSherlock - OS Command Injection： https://www.twcert.org.tw/tw/cp-132-10053-890b1-1.html
3. 桓基科技 iSherlock - OS Command Injection： https://www.twcert.org.tw/tw/cp-132-10054-84588-1.html