致遠(yuǎn)OA 文件上傳漏洞安全風(fēng)險(xiǎn)通告
發(fā)布日期：2021-1-8
?
漏洞描述
致遠(yuǎn)OA是一套辦公協(xié)同軟件。近日，阿里云應(yīng)急響應(yīng)中心捕獲到多個(gè)利用致遠(yuǎn)OA文件上傳與權(quán)限繞過漏洞的利用樣本。由于致遠(yuǎn)OA舊版本某些接口存在未授權(quán)訪問，以及部分函數(shù)存在過濾不足，攻擊者通過構(gòu)造惡意請求，可在無需登錄的情況下上傳惡意腳本文件，從而控制服務(wù)器。致遠(yuǎn)OA官方已針對該漏洞提供補(bǔ)丁，漏洞利用細(xì)節(jié)暫未公開。在此提醒致遠(yuǎn)OA用戶盡快采取安全措施阻止漏洞攻擊。
漏洞危害
致遠(yuǎn)OA舊版本某些接口存在未授權(quán)訪問，以及部分函數(shù)存在過濾不足，攻擊者通過構(gòu)造惡意請求，可在無需登錄的情況下上傳惡意腳本文件，從而控制服務(wù)器。
漏洞等級
高危
受影響版本
致遠(yuǎn)OA V8.0
致遠(yuǎn)OA V7.1、V7.1SP1
致遠(yuǎn)OA V7.0、V7.0SP1、V7.0SP2、V7.0SP3
致遠(yuǎn)OA V6.0、V6.1SP1、V6.1SP2
致遠(yuǎn)OA V5.x
修復(fù)方案
致遠(yuǎn)OA為商業(yè)軟件，建議聯(lián)系官方以獲取最新相關(guān)補(bǔ)丁，以及升級至最新版本。