ServiceNow工作流平台漏洞可致企业敏感数据泄露
💡
原文中文，约1500字，阅读约需4分钟。
📝
内容提要
网络安全公司Varonis发现ServiceNow平台存在严重的访问控制漏洞，低权限用户可获取敏感数据。该漏洞编号为CVE-2025-3648，专家建议企业立即加强ACL配置和监控，以防数据泄露。
🎯
关键要点
- 网络安全公司Varonis发现ServiceNow平台存在严重的访问控制漏洞，低权限用户可获取敏感数据。
- 该漏洞编号为CVE-2025-3648，安全专家建议企业立即加强ACL配置和监控。
- ServiceNow的访问控制机制允许低权限用户在某些条件下获取未授权数据。
- 攻击者只需获得弱权限账户或自注册匿名用户即可利用该漏洞。
- ServiceNow已在新版本中引入增强型ACL框架以应对该威胁。
- 该平台存储大量个人敏感数据，涵盖多个业务模块。
- ServiceNow采用四级条件判断用户访问权限，但存在关键缺陷。
- 企业需立即采取防护措施，包括严格配置ACL和监控异常查询行为。
- 此次事件警示企业建立持续性的权限治理机制。
❓
延伸问答
ServiceNow平台的漏洞是什么？
ServiceNow平台存在严重的访问控制漏洞，允许低权限用户获取敏感数据，漏洞编号为CVE-2025-3648。
企业应如何应对ServiceNow的安全漏洞？
企业应立即加强ACL配置和监控，确保遵循最小权限原则，并定期审计权限变更记录。
ServiceNow的访问控制机制存在哪些缺陷？
ServiceNow的四级条件判断机制存在缺陷，攻击者可通过参数枚举推导完整数据，甚至提取表格全部记录。
低权限用户如何利用ServiceNow的漏洞？
低权限用户只需获得弱权限账户或自注册匿名用户即可利用该漏洞，获取未授权数据。
ServiceNow平台存储哪些类型的敏感数据？
ServiceNow平台存储大量个人敏感数据，包括事件记录、用户凭证和应用登录信息等。
ServiceNow如何改进其安全性以应对漏洞？
ServiceNow在新版本中引入了增强型ACL框架和新型查询ACL规则，以提高安全性。
🏷️
标签
➡️
