泛微e-cology OA系统SQL注入缝隙安全公告

颁布功夫 2019-10-10

缝隙编号和级别


CVE编号：暂无 ，，，， ，，，，危险级别：高危 ，，，， ，，，，CVSS分值：厂商自评：7.8 ，，，， ，，，，官方未评定


影响版本


泛微e-cology OA系统 JSP版本


缝隙概述


泛微e-cology OA是国内利用宽泛的OA解决规划。。。。。。。。


泛微e-cology OA系统的WorkflowCenterTreeData接口在使用Oracle数据库时,由于内置SQL语句拼接不严 ，，，， ，，，，导致泛微e-cology OA系统存在SQL注入缝隙。。。。。。。。攻击者利用该缝隙 ，，，， ，，，，可在未授权的情况下 ，，，， ，，，，远程发送精心机关的SQL语句 ，，，， ，，，，从而获取数据库敏感信息。。。。。。。。


对泛微e-cology OA系统JSP版本在我国境内的散布情况进行统计 ，，，， ，，，，了局显示使用该版本数量约为7430个。。。。。。。。


缝隙验证


暂无POC/EXP。。。。。。。。


建复建议


目前 ，，，， ，，，，泛微OA官方暂未颁布补丁 ，，，， ，，，，一时解决规划如下：


1、使用参数查抄的方式 ，，，， ，，，，拦截带有SQL语法的参数传入利用法式 ；；；；；

2、使用预编译的处置方式处置拼接了用户参数的SQL语句 ；；；；；

3、在参数即将进入数据库执行之前 ，，，， ，，，，对SQL语句的语义进行齐全性查抄 ，，，， ，，，，确认语义没有产生变动 ；；；；；

4、在出现SQL注入缝隙时 ，，，， ，，，，要在出现问题的参数拼接进SQL语句前进行过滤或者校验 ，，，， ，，，，不要依赖法式最起头处防护代码 ；；；；；

5、定期审计数据库执行日志 ，，，， ，，，，查看是否存在利用法式正常逻辑之表的SQL 语句执行


参考链接


https://mp.weixin.qq.com/s/iB22Npjcyv8vFgKx8sLR8Q