搜索

[1781] 2021-01-11_关于致远OA系统存在文件上传漏洞的安全公告

文档创建者：s7ckTeam
浏览次数：9
最后更新：2025-01-16
2021-01-11_关于致远OA系统存在文件上传漏洞的安全公告 关 于 致 远 O A 系 统 存 在 文 件 上 传 漏 洞 的 安 全 公 告 原 创   C N V D   C N V D 漏 洞 平 台   2 0 2 1 - 0 1 - 1 1 安 全 安 全 公 告 编 号 公 告 编 号 : C N T A - 2 0 2 1 - 0 0 0 2 2 0 2 1 年 1 月 8 日 ， 国 家 信 息 安 全 漏 洞 共 享 平 台 （ C N V D ） 收 录 了 致 远 O A 系 统 文 件 上 传 漏 洞 （ C N V D - 2 0 2 1 - 0 1 6 2 7 ） 。 攻 击 者 利 用 该 漏 洞 ， 可 在 未 授 权 的 情 况 下 上 传 恶 意 文 件 ， 获 取 目 标 服 务 器 权 限 。 目 前 ， 漏 洞 细 节 已 公 开 ， 厂 商 已 发 布 版 本 补 丁 修 复 。 一 、 漏 洞 情 况 分 析 一 、 漏 洞 情 况 分 析 致 远 O A 是 由 北 京 致 远 互 联 软 件 股 份 有 限 公 司 （ 以 下 简 称 致 远 公 司 ） 开 发 的 一 款 协 同 管 理 软 件 ， 构 建 了 面 向 中 大 型 、 集 团 组 织 的 数 字 化 协 同 运 营 平 台 。 该 系 统 基 于 组 织 管 理 的 基 础 理 论 设 计 ， 支 持 大 型 组 织 的 发 展 和 变 化 ， 解 决 了 组 织 结 构 、 业 务 重 组 、 组 织 流 程 再 造 等 结 构 治 理 相 对 应 的 问 题 ， 满 足 集 团 战 略 管 控 、 营 运 管 控 和 财 务 管 控 的 战 略 协 同 行 为 和 垂 直 业 务 管 控 的 要 求 。 近 日 ， 有 安 全 人 员 披 露 了 致 远 O A 系 统 的 高 危 漏 洞 。 未 经 身 份 验 证 的 攻 击 者 利 用 该 漏 洞 ， 可 通 过 精 心 构 造 恶 意 脚 本 文 件 ， 使 用 P O S T 方 法 向 目 标 服 务 器 上 传 该 文 件 ， 上 传 后 即 可 通 过 远 程 执 行 代 码 ， 实 现 网 站 后 门 的 植 入 ， 进 而 控 制 目 标 服 务 器 。 目 前 ， 漏 洞 细 节 已 公 开 ， 厂 商 已 发 布 版 本 补 丁 修 复 。 C N V D 对 该 漏 洞 的 综 合 评 级 为 “ 高 危 ” 。   二 、 漏 洞 影 响 范 围 二 、 漏 洞 影 响 范 围 漏 洞 影 响 的 产 品 版 本 包 括 ： 致 远   O A   V 8 . 0 致 远   O A   V 7 . 1 、 V 7 . 1 S P 1 致 远   O A   V 7 . 0 、 V 7 . 0 S P 1 、 V 7 . 0 S P 2 、 V 7 . 0 S P 3 致 远   O A   V 6 . 0 、 V 6 . 1 S P 1 、 V 6 . 1 S P 2 致 远   O A   V 5 . x 三 、 漏 洞 处 置 建 议 三 、 漏 洞 处 置 建 议 目 前 ， 致 远 O A 官 方 已 发 布 补 丁 完 成 漏 洞 修 复 ， C N V D 平 台 建 议 用 户 立 即 通 过 官 方 网 站 安 装 最 新 补 丁 ： h t t p : / / s e r v i c e . s e e y o n . c o m / p a t c h t o o l s / t p . h t m l # / p a t c h L i s t ? t y p e = % E 5 % A E % 8 9 % E 5 % 8 5 % A 8 % E 8 % A 1 % A 5 % E 4 % B 8 % 8 1 & i d = 1 建 议 使 用 致 远 O A 系 统 构 建 网 站 的 信 息 系 统 运 营 者 进 行 自 查 ， 发 现 存 在 漏 洞 后 ， 及 时 升 级 或 联 系 致 远 公 司 。 感 谢 远 江 盛 邦 （ 北 京 ） 网 络 安 全 科 技 股 份 有 限 公 司 、 北 京 知 道 创 宇 信 息 技 术 股 份 有 限 公 司 （ 4 0 4 实 验 室 ） 为 本 报 告 提 供 的 技 术 支 持 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理