安全软件公司比特梵德(Bitdefender) 的Gravity企业端点安全保护平台最近爆出缺陷， 黑客可以通过后门进入企业内网。

　　安全咨询公司SEC Consult漏洞实验室的研究人员Stefan Wehbock说：“这一缺陷存在于最新版的Bitdefender的GravityZone中。 使得黑客可以通过网络进入企业内网。 黑客能够完全攻破这一软件， 获取系统和数据库级的访问权限。 此外， 通过这个缺陷， 黑客甚至可以接管所有的端点”

　　Gravity存在着三个漏洞。 其中一个是存在无须认证的通过Web界面进行本地文件访问的功能。 这样使得攻击者只要具有nginx用户权限， 就能够读取服务器上的任何文件， 包括明文密码文件。 这个漏洞目前Bitdefender已经发布了补丁。

　　还有一个漏洞是对一个Web用户可执行的脚本未经认证， 从而使得攻击者可能获取管理员权限。 这个漏洞也已经打上了补丁.

　　第三个缺陷是其后台MongoDB的数据库存在硬编码用户名和密码。 这个用户可以访问数据和数据库配置文件。 并且这一硬编码用户无法删除或修改密码。 这样的硬编码对IT公司不少见(参见本站的文章 史上12大著名安全后门植入案例)， 不过作为安全公司的产品存在这样的漏洞就说不过去了。

　　Bitdefender计划在7月底之前对这个漏洞发布补丁， 在此之前， 建议用户停用该系统。直到厂商发布补丁并且补丁经过充分测试后再加以使用。