用友NC遠程命令執行漏洞通告
360-CERT [三六零CERT](javascript:void(0)😉 今天
0x00 漏洞背景
2020年06月04日， 360CERT監測發現國內安全組織發佈了用友NC遠程命令執行漏洞的風險通告，漏洞等級：高危。
用友NC是一款企業級管理軟件，在大中型企業廣泛使用。實現建模、開發、繼承、運行、管理一體化的IT解決方案信息化平臺。
用友NC存在反序列化漏洞，攻擊者通過構造特定的HTTP請求，可以在目標服務器上遠程執行任意命令。
目前該漏洞暫無安全補丁發佈，360CERT建議廣大用戶做好資產自查以及預防工作，以免遭受黑客攻擊。
0x01 風險等級
360CERT對該漏洞的評定結果如下
| 評定方式 | 等級 |
|---|---|
| 威脅等級 | 高危 |
| 影響面 | 一般 |
0x02 影響版本
- 用友NC：全版本
0x03 修復建議
- 用友NC爲商業軟件，可直接聯繫用友官方獲得安全升級方案。
- 在官方安全補丁發佈之前，建議相關企業嚴格限制用友NC的訪問權限，禁止外部IP請求用友NC應用。
0x04 時間線
2020-06-04 國家電網公司信息與網絡安全重點實驗室發佈漏洞通告
2020-06-04 360CERT發佈漏洞通告
0x05 參考鏈接
1.國家電網公司信息與網絡安全重點實驗室發佈漏洞通告
[https://mp.weixin.qq.com/s/TkzQvw1iXjySoU9LJjLdRw]
轉載自https://mp.weixin.qq.com/s/eF1v4iYE4T_NqmztM3i6TA