【已复现】金蝶Apusic应用服务器 JNDI注入漏洞(QVD-2023-48297)安全风险通告

影响组件

金蝶Apusic应用服务器 <= V9.0 SP7

金蝶Apusic应用服务器 > V9.0 SP7

奇安信鹰图资产测绘平台数据显示金蝶Apusic应用服务器 JNDI注入漏洞(QVD-2023-48297)，国内风险资产分布情况如下：

官方已发布补丁修复漏洞，建议尽快安装补丁修复漏洞。官方补丁下载地址：http://file.apusic.com/sharing/vVHoyV0jR，下载对应版本补丁后，进行如下步骤：

1、停止应用服务器，备份对应的文件(admin.war或webtool.war、razor.jar、index.jsp)；

2、把razor.jar覆盖<安装目录>lib目录下对应的文件；

3、如果<安装目录>lib目录下存在webtool.war，则使用webtool.war文件进行覆盖；如果<安装目录>lib目录下存在admin.war，把使用admin.war文件进行覆盖(webtool.war与admin.war不同时使用)；

4、通过在<安装目录>domainsmydomainvm.options文件，设置参数控制访问管控台的远程客户端(默认只能服务器本机能访问),下面例子是设置172.168.1.2可以访问，根据实际修改，多个地址用逗号分隔:

com.apusic.admin.allowHosts=172.168.1.2

com.apusic.webtool.allowHosts=172.168.1.2

5、把index.jsp覆盖到<安装目录>domainsmydomainapplications defaultpublic_html目录下；

6、把下载的修复任意文件下载的补丁文件拷贝到<安装目录>sp目录下；

7、重新启动应用服务器；

8、确认服务器是否可以正常访问；

也可以在https://file.apusic.com/fsdownload/NWWuyE3Q6/product下载并安装V9.0 SP8版本

在确认不影响业务的情况下，进行如下操作缓解漏洞：

暂时暂停应用服务器管理控制台并移除默认首页，删除如下文件webtool.war或admin.war、index.js，文件路径：

普通的管理控制台的安装文件: <安装目录>libwebtool.war

安全管理控制台的安全文件: <安装目录>libadmin.war

首页：<应用服务器安装目录>domainsmydomainapplications defaultpublic_htmlindex.jsp

如非必要，不要将 受影响系统 放置在公网上。或通过网络ACL策略限制访问来源，例如只允许来自特定IP地址或地址段的访问请求。

[1]https://www.apusic.com/view-477-113.html

2023年12月22日，奇安信 CERT发布安全风险通告。