关键漏洞信息 漏洞标题： - Trend Micro Mobile Security for Enterprise get_moveto_group_list Device_DeviceId SQL Injection Remote Code Execution Vulnerability 漏洞编号： - ZDI-17-810 - ZDI-CAN-4683 - CVE-2017-14078 CVSS评分： - 9.0 (AV:N/AC:L/Au:S/C:C/I:C/A:C) 受影响厂商： - Trend Micro 受影响产品： - Mobile Security for Enterprise 保护措施： - Trend Micro 提供了 TippingPoint IPS 保护，通过 Digital Vaccine 防护过滤器 ID ['28286']。 漏洞详情： - 此漏洞允许远程攻击者在 Trend Micro Mobile Security for Enterprise 的脆弱安装上执行任意代码。需要认证才能利用此漏洞。 - 漏洞存在于 get_moveto_group_list 动作的处理过程中，解析 'id' 字段时未正确验证用户提供的字符串，从而在构造 SQL 查询时引发 SQL 注入，使攻击者能以 SYSTEM 上下文执行任意代码。 额外信息： - Trend Micro 已发布更新补丁，详情参见 https://success.trendmicro.com/solution/1118224 披露时间线： - 2017-05-11 - 漏洞报告给厂商 - 2017-09-15 - 协调发布公开咨询 发现者： - Steven Seeley (mr_me) from Offensive Security & Roberto Suggi Liverani (@malerisch - http://blog.malerisch.net/)