Devolutions Server SQL 注入漏洞：企業密碼資安風險與應對

Devolutions Server 近期曝露的一個 SQL 注入漏洞（devo‑2025‑0004）允許未授權使用者在登入及帳號管理 API 中注入惡意 SQL，直接讀取、修改或刪除資料庫內的使用者憑證表。該漏洞在攻擊者成功注入後，能夠取得全部使用者帳號、雲端憑證及遠端桌面連線資訊，對企業內部密碼安全構成直接威脅。

漏洞技術細節

目標端點：/api/v1/auth/login 與 /api/v1/users。
注入點：username 與 password 參數未經適當過濾，直接拼接至 SQL 查詢。
攻擊流程：
1. 攻擊者以偽造帳戶發送 username='admin' OR 1=1--。
2. 伺服器將此字串直接插入 SQL，結果返回所有管理員帳號。
3. 進一步利用取得的憑證，攻擊者可遠端登入、修改密碼、取得雲端憑證。
影響範圍：所有部署了 Devolutions Server 3.4+ 且未升級至 3.5.1 的環境。

企業風險評估

此漏洞的嚴重性在於：

能夠直接取得 全域管理者憑證，破壞多租戶環境的資料隔離。
攻擊者可在不需進入內部網路的情況下，透過公開 API 取得企業內部遠端桌面連線資訊，進一步進行 lateral movement。
若同時存在未更新的密碼策略（例如長度不足、缺乏多因素驗證），則攻擊成本大幅降低。

📂 收合（點我收起）

# 典型 SQL 注入 payload
curl -X POST https://devolutions.example.com/api/v1/auth/login 
     -H "Content-Type: application/json" 
     -d '{"username":"admin' OR 1=1--","password":"any"}'

已發佈修補措施

Devolutions 在 2025‑12‑02 公佈了官方更新 3.5.1，修正了輸入驗證缺陷並對所有 API 進行了參數化查詢。建議企業立即檢查環境版本，並執行以下步驟：

確認安裝版本：devolutions --version。
備份資料庫，執行升級：devolutions upgrade --to 3.5.1。
重新部署 API 網關，確保所有外部請求均經過 TLS 1.3。
啟用多因素驗證（MFA）並限制 API 端點的 IP 白名單。

MITRE ATT&CK 對應

T1190 – Exploit Public-Facing Application
T1068 – Exploit for Privilege Escalation
T1078 – Valid Accounts (後續利用取得的管理員帳號)

結論與建議

Devolutions Server 的 SQL 注入漏洞再次提醒，雲端與遠端桌面管理工具在設計上必須嚴格執行輸入驗證與最小權限原則。企業在部署此類工具時，應：

定期檢查官方安全公告並快速升級。
實施 API 安全策略（IP 白名單、速率限制、TLS 強化）。
結合身份認證管理（MFA、密碼複雜度、定期更換）與日誌審計，及早偵測異常行為。
針對已知弱點（如 SQL 注入）實施自動化掃描與滲透測試，確保安全性。

參考資料與原文來源

GBHackers. (2025). Devolutions Server Hit by SQL Injection Flaw Allowing …. Retrieved 2025‑12‑03, from https://gbhackers.com/devolutions-server-hit-by-sql-injection-flaw/
CyberPress. (2025). Devolutions Server Vulnerability Lets Attackers Inject …. Retrieved 2025‑12‑03, from https://cyberpress.org/devolutions-server-vulnerability/
Devolutions. (2025). DEVO-2025-0004 – Advisory – Security – Devolutions. Retrieved 2025‑12‑03, from https://devolutions.net/security/advisories/DEVO-2025-0004/
Devolutions. (n.d.). Devolutions Server. Retrieved 2025‑12‑03, from https://devolutions.net/server/
Devolutions. (n.d.). Download Free – RDM – Devolutions. Retrieved 2025‑12‑03, from https://devolutions.net/remote-desktop-manager/downloadfree/

🧠 本文由 DreamJ AI 技術新聞生成系統 自動撰寫與優化，
內容僅供技術研究與學習參考，實際環境請搭配官方公告與資安建議。