搜索

[1582] 2019-06-27_关于致远OA-A8系统存在远程命令执行漏洞的安全公告

文档创建者：s7ckTeam
浏览次数：44
最后更新：2025-01-16
2019-06-27_关于致远OA-A8系统存在远程命令执行漏洞的安全公告 关 于 致 远 O A - A 8 系 统 存 在 远 程 命 令 执 行 漏 洞 的 安 全 公 告 原 创   C N V D   C N V D 漏 洞 平 台   2 0 1 9 - 0 6 - 2 7 安 全 公 告 编 号 安 全 公 告 编 号 : C N T A - 2 0 1 9 - 0 0 2 3 2 0 1 9 年 6 月 2 6 日 ， 国 家 信 息 安 全 漏 洞 共 享 平 台 （ C N V D ） 收 录 了 致 远 O A - A 8 系 统 远 程 命 令 执 行 漏 洞 （ C N V D - 2 0 1 9 - 1 9 2 9 9 ） 。 攻 击 者 利 用 该 漏 洞 ， 可 在 未 授 权 的 情 况 下 上 传 任 意 文 件 ， 实 现 远 程 命 令 执 行 。 目 前 ， 漏 洞 原 理 和 利 用 工 具 已 扩 散 ， 厂 商 已 于 2 6 日 晚 1 0 时 完 成 修 复 并 向 客 户 发 出 补 丁 ， 建 议 用 户 立 即 更 新 或 采 取 临 时 修 补 方 案 进 行 防 护 。 一 、 漏 洞 情 况 分 析 一 、 漏 洞 情 况 分 析 致 远 O A - A 8 是 由 北 京 致 远 互 联 软 件 股 份 有 限 公 司 （ 以 下 简 称 致 远 公 司 ） 开 发 的 一 款 协 同 管 理 软 件 ， 构 建 了 面 向 中 大 型 、 集 团 组 织 的 数 字 化 协 同 运 营 平 台 。 致 远 O A - A 8 系 统 基 于 组 织 管 理 的 基 础 理 论 设 计 ， 支 持 大 型 组 织 的 发 展 和 变 化 ， 解 决 了 组 织 结 构 、 业 务 重 组 、 组 织 流 程 再 造 等 结 构 治 理 相 对 应 的 问 题 ， 满 足 集 团 战 略 管 控 、 营 运 管 控 和 财 务 管 控 的 战 略 协 同 行 为 和 垂 直 业 务 管 控 的 要 求 。 该 系 统 的 漏 洞 点 在 于 致 远 O A - A 8 系 统 的 S e r v l e t 接 口 暴 露 ， 安 全 过 滤 处 理 措 施 不 足 ， 使 得 用 户 在 无 需 认 证 的 情 况 下 实 现 任 意 文 件 上 传 。 攻 击 者 利 用 该 漏 洞 ， 可 在 未 授 权 的 情 况 下 ， 远 程 发 送 精 心 构 造 的 网 站 后 门 文 件 ， 从 而 获 取 目 标 服 务 器 权 限 ， 在 目 标 服 务 器 上 执 行 任 意 代 码 。 C N V D 对 该 漏 洞 的 综 合 评 级 为 “ 高 危 ” 。 二 、 漏 洞 影 响 范 围 二 、 漏 洞 影 响 范 围 漏 洞 影 响 的 产 品 版 本 包 括 ： 致 远 A 8 - V 5 协 同 管 理 软 件   V 6 . 1 s p 1 致 远 A 8 + 协 同 管 理 软 件 V 7 . 0 、 V 7 . 0 s p 1 、 V 7 . 0 s p 2 、 V 7 . 0 s p 3 致 远 A 8 + 协 同 管 理 软 件 V 7 . 1 C N V D 秘 书 处 对 致 远 O A - A 8 系 统 在 我 国 境 内 的 分 布 情 况 进 行 统 计 ， 结 果 显 示 我 国 境 内 的 致 远 O A - A 8 系 统 数 量 约 为 3 . 1 万 。 综 合 C N V D 技 术 支 撑 单 位 报 送 、 C N V D 秘 书 处 主 动 检 测 的 结 果 显 示 ， 我 国 境 内 共 有 3 3 4 台 服 务 器 存 在 漏 洞 ， 受 影 响 比 例 约 为 1 . 1 % 。 我 平 台 已 将 检 测 结 果 与 致 远 公 司 共 享 ， 协 助 其 开 展 用 户 侧 修 复 相 关 工 作 。 三 、 漏 洞 处 置 建 议 三 、 漏 洞 处 置 建 议 目 前 ， 致 远 公 司 已 发 布 补 丁 完 成 修 复 ， 并 成 立 专 项 小 组 ， 对 涉 及 以 上 版 本 的 用 户 进 行 排 查 。 补 丁 和 更 新 信 息 获 取 方 式 如 下 ： 1 、 登 录 致 远 互 联 服 务 网 站 （ h t t p : / / s u p p o r t . s e e y o n . c o m ） 获 取 补 丁 ； 2 、 关 注 “ 致 远 互 联 微 服 务 ” 公 众 号 ， 及 时 获 取 安 全 更 新 通 知 ； 3 、 如 有 技 术 问 题 可 联 系 致 远 公 司 ， E m a i l ： s e c u r i t y @ s e e y o n . c o m ， 电 话 ： 4 0 0 - 7 0 0 - 8 8 2 2 。 临 时 修 补 方 案 如 下 ： 1 、   配 置 U R L 访 问 控 制 策 略 ； 2 、   在 公 网 部 署 的 致 远 A 8 + 服 务 器 ， 通 过 A C L 禁 止 外 网 对 “ / s e e y o n / h t m l o f f i c e s e r v l e t ” 路 径 的 访 问 ； 3 、   对 O A 服 务 器 上 的 网 站 后 门 文 件 进 行 及 时 查 杀 。 建 议 使 用 致 远 O A - A 8 系 统 的 信 息 系 统 运 营 者 进 行 自 查 ， 发 现 存 在 漏 洞 后 ， 按 照 以 上 方 案 及 时 修 复 。 另 ， 致 远 O A 在 部 分 企 事 业 单 位 的 内 网 办 公 系 统 应 用 也 较 为 广 泛 ， 建 议 及 时 进 行 自 查 和 修 复 。 感 谢 北 京 致 远 互 联 软 件 股 份 有 限 公 司 、 北 京 知 道 创 宇 信 息 技 术 股 份 有 限 公 司 （ 4 0 4 实 验 室 ） 、 天 津 市 国 瑞 数 码 安 全 系 统 股 份 有 限 公 司 （ 零 点 实 验 室 ） 为 本 报 告 提 供 的 技 术 支 持 。 关 注 C N V D 漏 洞 平 台
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理