漏洞描述
泛微E-cology OA系統(tǒng)是一套兼具企業(yè)信息門戶、知識(shí)管理、數(shù)據(jù)中心、工作流管理、人力資源管理、客戶與合作伙伴管理、項(xiàng)目管理、財(cái)務(wù)管理、資產(chǎn)管理功能的協(xié)同商務(wù)平臺(tái)。漏洞源于泛微e-cology OA系統(tǒng)的JAVA Beanshell接口可被未授權(quán)訪問，攻擊者調(diào)用該Beanshell接口，可構(gòu)造特定的HTTP請(qǐng)求繞過泛微本身一些安全限制從而達(dá)成遠(yuǎn)程命令執(zhí)行。
通過對(duì)泛微E-cology OA系統(tǒng)在互聯(lián)網(wǎng)中的IP地址進(jìn)行分析，2019年全球共24615個(gè)用戶聯(lián)網(wǎng)使用該系統(tǒng)，主要用戶分布在中國(guó)，共23094個(gè)，其中域名為gov的政府用戶共102個(gè)。目前該漏洞poc已經(jīng)在網(wǎng)絡(luò)中流傳，存在較大風(fēng)險(xiǎn)，建議用戶及時(shí)修復(fù)。
漏洞編號(hào)
CNNVD-201909-1041
漏洞危害
成功利用此漏洞的攻擊者，可以在目標(biāo)系統(tǒng)遠(yuǎn)程執(zhí)行惡意代碼。
漏洞等級(jí)
高危
受影響版本
E-cology 7.0
E-cology 8.0
E-cology 8.1
E-cology 9.0（未測(cè)試，影響未知）
修復(fù)方案
目前，泛微官方已經(jīng)發(fā)布更新修復(fù)了該漏洞，請(qǐng)用戶及時(shí)確認(rèn)是否受到漏洞影響，盡快采取修補(bǔ)措施。
參考鏈接
https://www.weaver.com.cn/cs/securityDownload.asp