搜索

[1622] 2019-10-10_关于泛微e-cologyOA系统存在SQL注入漏洞的安全公告

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-16
2019-10-10_关于泛微e-cologyOA系统存在SQL注入漏洞的安全公告 关 于 泛 微 e - c o l o g y   O A 系 统 存 在 S Q L 注 入 漏 洞 的 安 全 公 告 原 创   C N V D   C N V D 漏 洞 平 台   2 0 1 9 - 1 0 - 1 0 安 全 公 告 编 号 安 全 公 告 编 号 : C N T A - 2 0 1 9 - 0 0 3 3 2 0 1 9 年 1 0 月 1 0 日 ， 国 家 信 息 安 全 漏 洞 共 享 平 台 （ C N V D ） 收 录 了 泛 微 e - c o l o g y   O A 系 统 S Q L 注 入 漏 洞 （ C N V D - 2 0 1 9 - 3 4 2 4 1 ） 。 攻 击 者 利 用 该 漏 洞 ， 可 在 未 授 权 的 情 况 下 进 行 S Q L 注 入 ， 获 取 数 据 库 敏 感 信 息 。 目 前 ， 漏 洞 利 用 原 理 已 在 小 范 围 公 开 ， 官 方 补 丁 尚 未 发 布 。 一 、 漏 洞 情 况 分 析 一 、 漏 洞 情 况 分 析 泛 微 专 注 于 协 同 管 理 O A 软 件 领 域 ， 并 致 力 于 以 协 同 O A 为 核 心 ， 帮 助 企 业 构 建 全 新 的 移 动 办 公 平 台 。 作 为 协 同 管 理 软 件 行 业 的 实 力 企 业 ， 泛 微 有 业 界 优 秀 的 协 同 管 理 软 件 产 品 。 在 企 业 级 移 动 互 联 大 潮 下 ， 泛 微 发 布 了 全 新 的 以 “ 移 动 化 、 社 交 化 、 平 台 化 、 云 端 化 ” 四 化 为 核 心 的 全 一 代 产 品 系 列 ， 包 括 面 向 大 中 型 企 业 的 平 台 型 产 品 e - c o l o g y 、 面 向 中 小 型 企 业 的 应 用 型 产 品 e - o f f i c e 、 面 向 小 微 型 企 业 的 云 办 公 产 品 e t e a m s ， 以 及 帮 助 企 业 对 接 移 动 互 联 的 移 动 办 公 平 台 e - m o b i l e 和 帮 助 快 速 对 接 微 信 、 钉 钉 等 平 台 的 移 动 集 成 平 台 等 等 。 泛 微 e - c o l o g y   O A 系 统 的 W o r k f l o w C e n t e r T r e e D a t a 接 口 在 使 用 O r a c l e 数 据 库 时 , 由 于 内 置 S Q L 语 句 拼 接 不 严 , 导 致 泛 微 e - c o l o g y   O A 系 统 存 在 S Q L 注 入 漏 洞 。 攻 击 者 利 用 该 漏 洞 ， 可 在 未 授 权 的 情 况 下 ， 远 程 发 送 精 心 构 造 的 S Q L 语 句 ， 从 而 获 取 数 据 库 敏 感 信 息 。 C N V D 对 该 漏 洞 的 综 合 评 级 为 “ 高 危 ” 。   二 、 漏 洞 影 响 范 围 二 、 漏 洞 影 响 范 围 漏 洞 影 响 的 产 品 版 本 包 括 ： 泛 微 e - c o l o g y   O A 系 统   J S P 版 本 C N V D 秘 书 处 对 泛 微 e - c o l o g y   O A 系 统 J S P 版 本 在 我 国 境 内 的 分 布 情 况 进 行 统 计 ， 结 果 显 示 使 用 该 版 本 数 量 约 为 7 4 3 0 个 。 C N V D 秘 书 处 主 动 检 测 的 结 果 显 示 ， 我 国 境 内 共 有 7 4 1 台 服 务 器 存 在 漏 洞 ， 受 影 响 比 例 约 为 1 0 % 。 三 、 漏 洞 处 置 建 议 三 、 漏 洞 处 置 建 议 目 前 ， 泛 微 O A 官 方 暂 未 发 布 补 丁 ， 临 时 解 决 方 案 如 下 ： 1 、 使 用 参 数 检 查 的 方 式 ， 拦 截 带 有 S Q L 语 法 的 参 数 传 入 应 用 程 序 ； 2 、 使 用 预 编 译 的 处 理 方 式 处 理 拼 接 了 用 户 参 数 的 S Q L 语 句 ； 3 、 在 参 数 即 将 进 入 数 据 库 执 行 之 前 ， 对 S Q L 语 句 的 语 义 进 行 完 整 性 检 查 ， 确 认 语 义 没 有 发 生 变 化 ； 4 、 在 出 现 S Q L 注 入 漏 洞 时 ， 要 在 出 现 问 题 的 参 数 拼 接 进 S Q L 语 句 前 进 行 过 滤 或 者 校 验 ， 不 要 依 赖 程 序 最 开 始 处 防 护 代 码 ； 5 、 定 期 审 计 数 据 库 执 行 日 志 ， 查 看 是 否 存 在 应 用 程 序 正 常 逻 辑 之 外 的 S Q L   语 句 执 行 ； 建 议 使 用 泛 微 e - c o l o g y   O A 系 统 构 建 网 站 的 信 息 系 统 运 营 者 进 行 自 查 ， 发 现 存 在 漏 洞 后 ， 按 照 临 时 解 决 方 案 及 时 进 行 修 复 。 感 谢 北 京 白 帽 汇 科 技 有 限 公 司 为 本 报 告 提 供 的 技 术 支 持 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理