用友NC存在反序列化远程代码执行漏洞风险提示

近日，安恒信息CERT监测到用友NC存在反序列化远程代码执行漏洞，目前技术细节及PoC未公开。攻击者可在未登录系统状态下，通过发送特定请求包触发反序列化，最终实现远程代码执行。安恒信息CERT已复现此漏洞。

该产品主要使用客户行业分布为政府、企业等，在国内有较大的占有率。该漏洞无需任何前置条件，漏洞危害性极高，建议客户尽快做好自查及防护。

漏洞信息

用友NC是一款企业级ERP软件。作为一种信息化管理工具，用友NC提供了一系列业务管理模块，包括财务会计、采购管理、销售管理、物料管理、生产计划和人力资源管理等，帮助企业实现数字化转型和高效管理。

该产品主要使用客户行业分布为政府、企业等，在国内有较大的占有率。该漏洞无需任何前置条件，漏洞危害性极高，建议客户尽快做好自查及防护。

安恒信息 CERT 已验证该漏洞的的可利用性：

修复方案

网络空间资产测绘

安恒CERT的安全分析人员利用Sumap全球网络空间超级雷达，通过资产测绘的方法，对该漏洞进行监测，近3个月数据显示，用友NC全球IP测绘数据 1,776 条，域名测绘数据24条，国内资产受影响较多。

根据实际调研使用量，内网及互联网网络均有部署。建议客户尽快做好资产排查。

产品防护方案

AiLPHA大数据平台&AXDR平台

AiLPHA大数据平台&AXDR平台的流量探针（AiNTA）在第一时间加入了用友NC反序列化远程代码执行漏洞的检测规则，请将规则包升级到1.1.1080版本（AiNTA-v1.2.5_release_ruletag_1.1.1080）及以上版本。

规则名称：用友NC反序列化远程代码执行漏洞

规则编号：93011250、93011251

AiNTA流探针规则升级方法：系统管理->手动升级，选择“上传升级包”。升级成功后，规则版本会变为最新的版本号。请从AiLPHA安全中心下载规则包。

AiLPHA安全中心地址：

https://ailpha.dbappsecurity.com.cn/index.html#/login

如果没有账号，请从页面注册账号。

APT攻击预警平台

APT攻击预警平台已经在第一时间加入了对用友NC反序列化远程代码执行漏洞的检测能力，请将规则包升级到GoldenEyeIPv6_0EDB7_strategy2.0.26854.230518.1及以上版本。

规则名称：用友NC反序列化远程代码执行漏洞

规则编号：93011250、93011251

APT攻击预警平台规则升级方法：系统->升级管理，选择“手动升级”或“在线升级”。

APT攻击预警平台的规则升级包请到安恒社区下载：https://bbs.dbappsecurity.com.cn/download/60d406cd22d42322bcde0225/5ddc97a68c885b76dd8d8667?type1=5e01818f8a17d82f9f66fb26

WAF

WAF已经支持用友NC反序列化远程代码执行漏洞的检测

玄武盾

玄武盾已经支持用友NC反序列化远程代码执行漏洞的检测

扫描器

（1）明鉴漏洞扫描系统/明鉴远程安全评估系统

已具备最新的用友NC反序列化远程代码执行漏洞的检测能力，将策略库升级至V1.3.971.1031版本。

升级方法：系统管理-系统服务-系统升级-立即升级 可通过网络在线升级至最新版本，或通过离线下载升级包后至系统管理-系统服务-系统升级-选择离线包上传升级包，升级成功后策略库为最新版本。

策略库离线下载地址：http://upgrade.websaas.com.cn/offline-package

（2）云鉴版漏洞扫描系统已具备最新的用友NC反序列化远程代码执行漏洞的检测能力，将策略库升级至V1.3.971.1031版本，具体的升级方式为离线上传更新。

（3）WebScan7已具备最新的用友NC反序列化远程代码执行漏洞的检测能力，将策略库升级至V1.0.1.85版本，具体的升级方式为一键在线升级。策略库离线下载地址:http://upgrade.websaas.com.cn/offline-package?type=web

参考资料