美国数百个市政机构软件存在严重数据泄露漏洞

卡耐基梅隆大学CERT协调中心（CERT/CC）披露了Workhorse Software市政会计软件中的两个严重数据泄露漏洞，该软件被美国数百个市县使用。CERT/CC在厂商修复漏洞后才公开披露相关信息。

漏洞由Sparrow IT Solutions研究员詹姆斯·哈罗德发现，影响1.9.4.48019之前的软件版本。CERT/CC在漏洞公告中指出：“Workhorse Software Services市政会计软件在1.9.4.48019版本之前存在设计缺陷，可能导致未授权访问敏感数据并引发数据外泄。具体表现为：数据库连接信息以明文形式存储在可执行文件旁，且软件允许未登录用户通过登录界面创建未加密的数据库备份。”

漏洞技术细节

1. 明文存储数据库连接凭据（CVE-2025-9037）SQL Server连接凭据被明文存储在可执行文件旁的配置文件中。该目录通常位于与SQL数据库相同的服务器共享网络文件夹内。若启用SQL身份验证，攻击者只需读取该目录即可获取数据库凭证。
2. 未认证的数据库备份功能（CVE-2025-9040）应用程序的“文件”菜单允许用户将数据库备份为未加密的ZIP压缩包，生成的.bak文件可在任何SQL Server上无需密码直接还原。

影响范围与风险

1. 该软件服务威斯康星州数百个市政单位。
2. 攻击者可能获取完整数据库，内含社保号（SSN）、市政财务记录等敏感信息，并可能篡改财务数据、破坏审计追溯性及系统完整性。
3. 利用前提包括：攻击者具备物理设备访问权限、能读取网络共享文件的恶意软件、或通过社工手段获取系统入口。

修复与缓解措施

1. 立即升级至1.9.4.48019版本。
2. 若暂无法升级：• 使用NTFS权限限制软件目录访问• 启用SQL加密及Windows身份验证• 禁用数据库备份功能• 配置网络分段与防火墙规则减少暴露面。

消息来源： securityaffairs；

本文由 HackerNews.cc 翻译整理，封面来源于网络；