Flowring Forum - 2025-05 資安通報

Topic: 2025-05 資安通報

1.2025-05 資安通報

Posted by: ulatsou
Posted on: 2025-05-02 13:57

1.
Agentflow 存在這個漏洞風險，請參考與強烈建議安排更新至這個版本 AF40Patch20250328
https://www.twcert.org.tw/tw/cp-132-10091-12462-1.html

華苓科技 Agentflow 存在 Account Lockout Bypass漏洞，未經身分鑑別之遠端攻擊者可利用此漏洞進行密碼暴力破解攻擊。
主要是密碼錯誤次數過高被鎖定後，仍可以被繞過去，繼續暴力破解帳密

2.
至今 Agentflow 產品有兩項弱點通報在 TWCERT/CC 上發佈，除了第一點外，就是 2022 年的這項
請務必、一定、非常強烈建議要更新，尤其網站可以從外網連線
https://www.twcert.org.tw/tw/cp-132-6683-57b71-1.html
因為近期服務得知部份客戶的版本仍是很久以前的版本
且已知這個弱點有被拿來做利用，請務必、一定、非常強烈建議要更新至以下版本
2022/09/16 – Agentflow v4.0
2022/09/22 – Agentflow v3.7.0
2022/09/29 – Agentflow v3.7.1

3.
Tomcat 9.0.0.M1~9.0.102 的版本具有這次的弱點，分別為 CVE-2025-31650 高風險、CVE-2025-31651 中風險的弱點
https://www.hkcert.org/tc/security-bulletin/apache-tomcat-multiple-vulnerabilities_20250430
若您使用的是這個版本範圍的 tomcat，請參考資訊與安排更新

Flowring Forum