ServiceNow 关键知识库漏洞问题曝光

关键要点

超过 1000 个 ServiceNow 知识库实例存在错误配置，暴露了敏感数据。Access 访问控制错误可能源于组织对其配置的误解。安全专家警告，管理人员必须采取措施来防止这些泄漏。ServiceNow 表示已主动联系客户并提供解决指南。

最近，AppOmni 的测试发现超过 1000 个 ServiceNow 知识库KB，占测试实例的 45，存在错误配置，意外暴露了知识库中的数据。企业使用 ServiceNow 知识库存储和分享信息，这些信息以文章形式帮助用户解答问题、排除故障以及处理 IT 服务任务。然而，这些数据往往是敏感的，包括个人可识别信息PII、内部系统细节以及活跃的凭证/令牌。

vp 梯子 免费

AppOmni 的研究人员在其 9 月 17 日的博客文章 中表示：“在许多情况下，拥有多个 ServiceNow 实例的组织在每个实例的知识库访问控制上存在一致的错误配置，这可能表明对知识库访问控制的系统误解，或是通过克隆意外复制了至少一个实例的错误控制。”

Adaptive Shield 的高级研究负责人 Dan Meged 进一步补充称，这种错误配置通过一个名为 widgets 的 ServiceNow 工具暴露了原本应该安全的知识库文章。Meged 表示，攻击者能够轻松地以规模化的方式访问知识库中的每一篇文章。作为共同责任模型的一部分，防止这些泄漏是组织的职责。Meged 还提到，他们的研究团队在审查的数千个 ServiceNow 账户中发现大约 30 的实例存在这种错误配置，并已负责任地披露了这一暴露问题。

“为了解决这个问题，ServiceNow 管理员必须将 ‘Can Read’ 用户标准设置为非公开，并将 ‘guest user’ 和 ‘any user’ 添加到 ‘Cannot Read’，以防止通过 widget 访问这些内容。” Meged 说。“此外，他们还必须将所有公共页面设置为私有。这是一个严重的错误配置，突显了对强大访问控制和持续监控的需求。”

关于 AppOmni 和 Adaptive Shield 博客的请求，ServiceNow 的发言人表示，公司已意识到近期发布的内容可能导致未意图的访问，特别当知识库文章未配置以满足业务需求时。几个月前，他们已联系客户，提供关于如何解决此问题的详细指导。此外，为了帮助保护仍可能允许过度访问的知识库，ServiceNow 在 9 月 4 日表示已开始采取主动措施，适当调整客户的知识库配置。

“我们会与客户积极合作，确保他们的安全配置持续安全，结构合理，符合其预期目的。” ServiceNow 表示。“我们使这些协议可扩展，客户可以根据他们独特的安全需求进行配置。”

错误配置揭示 SaaS 安全的关键问题

SaaS 供应商 DoControl 的产品副总裁 Guy Rosenthal 指出，这次 ServiceNow 知识库的曝光突显了我们所面临的 SaaS 安全的一个关键问题：在复杂的、不断发展的平台上维持适当的配置的挑战。Rosenthal 强调，这里的技术问题是多方面的：首先，许多团队在处理遗留配置，它们运行旧版本的 ServiceNow，知识库默认设置为公开。这是一种典型的 “设置后忘记”的情况，团队可能未意识到需要重新审视这些设置。其次，访问控制的复杂性也是一个重要因素。ServiceNow 的 “用户标准” 功能很强大，但也容易被错误配置。

“这些规则中的一个小错误可能无意中授予未验证用户访问权限。” Rosenthal 说，“这就像你以为锁了门，但实际上并没有，结果还是让人得以进入。”

Skyhawk Security 的首席执行官 Chen Burshan 增加了研究中发现的两个主要问题。一是与应用程序权限设置有关，旨在防止未授权访问数据。Burshan 说，ServiceNow 在 2023 年发布了一种访问控制列表ACL机制和配置说明，但许多人发现很难遵循，因此仍然暴露了客户。

此外，Burshan 表示，知识库的标识符不是