用友NC远程命令执行漏洞通告

360-CERT [三六零CERT](javascript:void(0)???? 今天

用友NC远程命令执行漏洞通告_安全防护

0x00 漏洞背景

2020年06月04日， 360CERT监测发现国内安全组织发布了用友NC远程命令执行漏洞的风险通告，漏洞等级：高危。

用友NC是一款企业级管理软件，在大中型企业广泛使用。实现建模、开发、继承、运行、管理一体化的IT解决方案信息化平台。

用友NC存在反序列化漏洞，攻击者通过构造特定的HTTP请求，可以在目标服务器上远程执行任意命令。

目前该漏洞暂无安全补丁发布，360CERT建议广大用户做好资产自查以及预防工作，以免遭受黑客攻击。

0x01 风险等级

360CERT对该漏洞的评定结果如下

评定方式 等级
威胁等级 高危
影响面 一般

0x02 影响版本

  • 用友NC：全版本

0x03 修复建议

  1. 用友NC为商业软件，可直接联系用友官方获得安全升级方案。
  2. 在官方安全补丁发布之前，建议相关企业严格限制用友NC的访问权限，禁止外部IP请求用友NC应用。

0x04 时间线

2020-06-04 国家电网公司信息与网络安全重点实验室发布漏洞通告

2020-06-04 360CERT发布漏洞通告

0x05 参考链接

1.国家电网公司信息与网络安全重点实验室发布漏洞通告
[https://mp.weixin.qq.com/s/TkzQvw1iXjySoU9LJjLdRw]

转载自https://mp.weixin.qq.com/s/eF1v4iYE4T_NqmztM3i6TA