ntopng权限绕过与任意代码执行漏洞（CVE-2021-28073/CVE-2021-28074）

       一、 基本情况

近日，国内某安全团队披露了ntopng权限绕过与任意代码执行漏洞，相关CVE编号：CVE-2021-28073/CVE-2021-28074。攻击者可在未授权的情况下请求符合漏洞利用条件的接口，并最终利用服务器端请求伪造和高危服务实现远程代码执行。ntopng官方已于2021年03月05日发布相关修复代码进行修复，因此，建议受影响用户及时升级至最新版本进行防护，做好资产自查以及预防工作，以免遭受黑客攻击。

二、 漏洞描述

ntopng是一套开源的网络流量监控工具，提供基于Web界面的实时网络流量监控。

漏洞利用的核心在于对于ntopng web接口的权限认证绕过，导致攻击者可以在未授权的情况下请求符合漏洞利用条件的接口，并最终利用服务器端请求伪造和高危服务实现远程代码执行。

三、 影响范围

ntopng commit < e8b9721479f401f595c5c7bb151819aceb03ad71

四、 安全建议

1.建议受影响用户及时将ntopng升级至commit e8b9721479f401f595c5c7bb151819aceb03ad71；

2. 排查使用ntopng的服务，并将ntopng的相关端口禁止从互联网访问。

五、 参考链接

https://github.com/ntop/ntopng/commit/e8b9721479f401f595c5c7bb151819aceb03ad71

https://f5.pm/go-63892.html