漏洞描述
2023年5月16日公司監(jiān)測到泛微官方發(fā)布安全補丁，修復(fù)了一個繞過認(rèn)證漏洞。泛微E-Cology9系統(tǒng)是一套基于JSP及SQL Server數(shù)據(jù)庫的OA系統(tǒng)，廣泛應(yīng)用于各個行業(yè)。該漏洞是由于泛微E-Cology9存在一個信息泄露接口，攻擊者在未授權(quán)的情況下，可利用該接口獲取系統(tǒng)已注冊的用戶。此外，由于泛微E-Cology9使用了不安全的算法設(shè)計，攻擊者可以利用獲取到的用戶名構(gòu)造惡意數(shù)據(jù)，模擬任意用戶登錄后臺。
漏洞危害
由于系統(tǒng)使用了不當(dāng)?shù)乃惴ㄔO(shè)計，攻擊者可以模擬任意用戶來登錄系統(tǒng)，無需認(rèn)證和鑒權(quán)即可實現(xiàn)獲取用戶數(shù)據(jù)和登錄后臺。
漏洞等級
高危
影響范圍：
Cology9 < 10.57.1
修復(fù)方案
當(dāng)前官方已發(fā)布受影響版本的對應(yīng)補丁，建議受影響的用戶及時更新官方的安全補丁。
鏈接如下：
https://www.weaver.com.cn/cs/securityDownload.asp