如果落入坏人之手，流行的红队工具可以用于访问网络、提升权限、进行侦察，并将恶意活动伪装成模拟演习。
一个严重程度最高的远程代码执行（RCE）漏洞已经出现，它影响到 MITRE Caldera 的所有版本，最早可追溯到开源对抗模拟平台的最初版本。
只要运行 Caldera 的服务器上存在 Go、Python 和 gcc，攻击者就能在大多数 Caldera 默认配置中触发该漏洞。
易受攻击
"Caldera要想完全正常运行，首先需要所有这些依赖项，"最近向 MITRE 报告该漏洞的独立安全研究员达维德-库利科夫斯基（Dawid Kulikowski）写道。"他在本周的一篇博文中写道："在许多发行版中，gcc 是 Go 的一个依赖项，这意味着攻击者极有可能利用这个漏洞。
该漏洞被命名为 CVE-2025-27364，在 CVSS 量表中的最高严重程度为 10 分。MITRE 认为该漏洞相对容易被利用，攻击者不需要用户交互或特殊权限。MITRE 建议所有 Caldera 用户 "立即下拉 "Caldera 的最新版本（主分支或 v5.1.0+）。
许多组织、政府机构和安全专业人员使用 MITRE Caldera 进行红队演习，测试其安全产品的可靠性，并使用 ATT&CK 模型复制对手行为。能够利用该漏洞的攻击者可以获得网络信任访问权、提升权限、横向移动、进行侦察、改变安全测试结果，甚至将真实的恶意活动伪装成模拟演习。这并不是威胁分子第一次试图利用红队工具来对付使用这些工具的组织。去年，趋势科技报告了威胁行为者在实施攻击时使用 EDRSilencer 来识别和禁用 16 家供应商的 EDR 产品。
在 Medium 上发表的博文中，Kulikowski 将该漏洞描述为与 Manx 和 Sandcat 有关，它们是 Caldera 的插件或代理，为对手模拟和红队演习提供功能。Sandcat 是 Caldera 用于对手模拟的主要默认设置，而 Manx 则提供返回 Caldera 的反向外壳功能，以执行指定的命令。
代理支持动态编译功能，允许用户自定义代理在特定环境中运行的方式。用户基本上可以使用 HTTP 标头来定义他们希望代理在与 Caldera 服务器通信时使用的通信方法、代理用于安全通信的加密密钥以及接收指令的服务器地址等。"Kulikowski 写道："然后对代理进行即时编译，并将这些参数传递给它们，以便将其包含在生成的二进制文件中，并控制代理的运行方式。
命令注入漏洞
不过，Kulikowski 指出，处理这种动态并发症的 Caldera 服务器缺乏适当的验证机制，这给攻击者在运行这些代理的系统上注入恶意命令提供了机会。他还针对 CVE-2025-27364 开发了一个概念验证（PoC）漏洞。他说，他在博文中发布的 PoC 代码以及对该漏洞的描述都稍作了修改，以防止脚本小子利用它。
Qualys 威胁研究部门安全研究经理 Mayuresh Dani 说，RCE 漏洞之所以存在，是因为 Caldera 的代理编译过程中没有充分实施安全限制和输入消毒。"他说："该漏洞存在于植入编译端点，未经身份验证的威胁行为者可使用简单的 curl 命令轻易触发。
"Dani 补充说："成功利用后，未经身份验证的远程威胁行为者可以在运行 Caldera 的服务器上执行任意代码，导致整个系统受损。他指出，由于 Caldera 在组织中的使用是众所周知的，也是经过批准的，因此对它的利用有可能在无人监督的情况下进行，并允许攻击者从被入侵的网络内部发起攻击。Dani 补充说，虽然 PoC 代码需要进行一些修改才能工作，但这很容易做到。
作为安全研究人员、红色团队以及从事威胁建模和漏洞评估的专业人员广泛使用的工具，"PoC "是一个非常有用的工具。
Salt Security 公司网络安全战略总监 Eric Schwake 说，MITRE Caldera 服务器的安全性至关重要。"他说："在最坏的情况下，攻击者可以完全控制服务器，有可能泄露敏感数据、歪曲测试结果，甚至利用该平台进一步攻击组织内的其他系统。他说："这种情况突出表明，迫切需要立即修补这一漏洞。使用 Caldera 的组织必须优先升级到最新版本，并实施 MITRE 建议的任何其他安全措施。
更需要立即打补丁的是，Kulikowski 本人计划在未来几周内针对该漏洞发布一个功能齐全的 Metasploit 模块。"MITRE Caldera 团队在 Medium 博文中说："所以，给你的实例打上补丁吧。"或者更好的办法是--不要将它们暴露在互联网上"。
信息来源：https://www.darkreading.com/application-security/max-severity-rce-vuln-all-versions-mitre-caldera
AI API 安全 DMARC 中国 云安全 五角大楼 人工智能 关税 加密货币 勒索软件 品牌冒充 国家安全 威胁情报 应用程序安全 恶意软件 数字货币 时事政治 时政 时政新闻 木马病毒 欺诈管理和网络犯罪 欺骗 民族国家攻击 漏洞和威胁 特朗普政府 社会工程学 社会工程学、网络战 移动安全 端点安全 缺口 网络安全 网络安全运营 网络攻击和数据泄露 网络犯罪 网络罪犯 网络钓鱼 网络间谍 网络风险 美国贸易代表办公室 联邦贸易委员会 脆弱性 金融与银行 间谍软件 阿联酋 骗局