一、 漏洞 CVE-2024-4885 基础信息
漏洞标题
"WhatsUp Gold 获取文件不压缩 目录遍历 远程代码执行 漏洞"
来源：AIGC 神龙大模型
漏洞描述信息
在发布于2023.1.3之前的WhatsUp Gold版本中，存在一个未经身份验证的远程代码执行漏洞，即Progress WhatsUpGold。
在该漏洞中，.NET方法WhatsUp.ExportUtilities.Export.GetFileWithoutZip允许以iisapppool\nmconsole权限执行命令。
翻译这句话为中国：
在发布于2023.1.3之前的WhatsUp Gold版本中，存在未授权远程代码执行漏洞。漏洞存在于Progress WhatsUpGold的.NET方法WhatsUp.ExportUtilities.Export.GetFileWithoutZip中，该方法允许以iisapppool\nmconsole权限执行命令。
来源：AIGC 神龙大模型
CVSS信息
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
来源：AIGC 神龙大模型
漏洞类别
OS命令中使用的特殊元素转义处理不恰当(OS命令注入)
来源：AIGC 神龙大模型
漏洞标题
WhatsUp Gold GetFileWithoutZip Directory Traversal Remote Code Execution Vulnerability
来源：美国国家漏洞数据库 NVD
漏洞描述信息
In WhatsUp Gold versions released before 2023.1.3, an unauthenticated Remote Code Execution vulnerability in Progress WhatsUpGold. The
WhatsUp.ExportUtilities.Export.GetFileWithoutZip
allows execution of commands with iisapppool\nmconsole privileges.
来源：美国国家漏洞数据库 NVD
CVSS信息
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
来源：美国国家漏洞数据库 NVD
漏洞类别
对路径名的限制不恰当(路径遍历)
来源：美国国家漏洞数据库 NVD
漏洞标题
Progress Software WhatsUp Gold 安全漏洞
来源：中国国家信息安全漏洞库 CNNVD
漏洞描述信息
Progress Software WhatsUp Gold是美国Progress Software公司的一款网络监控软件。用于监控整个网络基础设施以及应用程序、配置和网络流量。 Progress Software WhatsUp Gold 2023.1.3版本存在安全漏洞，该漏洞源于允许以 iisapppool mconsole 权限执行远程命令。
来源：中国国家信息安全漏洞库 CNNVD
CVSS信息
N/A
来源：中国国家信息安全漏洞库 CNNVD
漏洞类别
其他
来源：中国国家信息安全漏洞库 CNNVD
二、漏洞 CVE-2024-4885 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|---|---|---|
| 1 | Exploit for CVE-2024-4885 | https://github.com/sinsinology/CVE-2024-4885 | POC详情 |
