0day通告|用友 NC 反序列化远程代码执行漏洞

admin 2023年5月18日00:54:07评论187 views字数 805阅读2分41秒阅读模式
0day通告|用友 NC 反序列化远程代码执行漏洞

01 漏洞概况 


用友NC是一款企业级ERP软件。作为一种信息化管理工具,用友NC提供了一系列业务管理模块,包括财务会计、采购管理、销售管理、物料管理、生产计划和人力资源管理等,帮助企业实现数字化转型和高效管理。

近日,微步在线漏洞团队通过“X漏洞奖励计划”获取到用友NC反序列化远程代码执行漏洞情报(0day),攻击者可以通过该漏洞执行任意代码,导致系统被攻击与控制。

经过分析与研判,该漏洞利用难度低,可以直接远程代码执行,影响范围较大,建议尽快修复。


复现过程:

0day通告|用友 NC 反序列化远程代码执行漏洞

此次受影响版本如下

用友 NC

是否受影响

version <= 6.5

02 漏洞评估


公开程度:PoC 未公开

利用条件:无权限要求

交互要求:0-click

漏洞危害:高危、远程代码执行

影响范围:用友 NC

03 修复方案 


1. 官方修复措施:官方已发布修复方案,受影响的用户建议联系用友官方获取安全补丁

https://security.yonyou.com/#/noticeInfo?id=293

2. 临时处置和应对措施:非必要不建议将该系统暴露在公网。

3.流量侧检测排查:微步在线威胁感知平台TDP已支持检测该漏洞,规则 ID:3100031483、3100031488。

0day通告|用友 NC 反序列化远程代码执行漏洞

04 时间线 


2022.9 微步“X漏洞奖励计划”获取该漏洞相关情报

2022.9上报监管和厂商
2022.9 微步在线威胁感知平台TDP支持检测

2023.3 厂商修复
2023.5 微步发布报告





---End---



X漏洞奖励计划


“X漏洞奖励计划”是微步在线X情报社区推出的一款0day漏洞奖励计划,我们鼓励白帽子提交挖掘到的0day漏洞,并给予白帽子可观的奖励。我们期望通过该计划与白帽子共同努力,提升0day防御能力,守护数字世界安全。


活动详情:

https://x.threatbook.com/v5/vulReward

原文始发于微信公众号(微步在线研究响应中心):0day通告|用友 NC 反序列化远程代码执行漏洞

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2023年5月18日00:54:07
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   0day通告|用友 NC 反序列化远程代码执行漏洞https://cn-sec.com/archives/1741252.html

发表评论

匿名网友 填写信息