|
漏洞概述
|
|
漏洞名称
|
Smartbi Token 回调地址漏洞
|
|
漏洞编号
|
QVD-2023-18159
|
|
公开时间
|
2023-08-08
|
影响对象数量级
|
万级
|
|
奇安信评级
|
高危
|
CVSS 3.1分数
|
9.4
|
|
威胁类型
|
信息泄露
|
利用可能性
|
中
|
|
POC状态
|
未公开
|
在野利用状态
|
未发现
|
|
EXP状态
|
未公开
|
技术细节状态
|
未公开
|
|
利用条件：需要出网。
|
Smartbi是广州思迈特软件有限公司旗下的商业智能BI和数据分析品牌，为企业客户提供一站式商业智能解决方案。Smartbi大数据分析产品融合BI定义的所有阶段，对接各种业务数据库、数据仓库和大数据分析平台，进行加工处理、分析挖掘和可视化展现。
近日，Smartbi官方发布安全更新，修复了Smartbi Token 回调地址漏洞(QVD-2023-18159)。由于 QVD-2023-17461 漏洞未修复完全，Smartbi 在特定场景下仍存在Token回调地址漏洞，未经身份认证的远程攻击者利用该漏洞获取管理员Token，从而以管理员权限接管后台，进一步利用可实现任意代码执行。鉴于该漏洞影响范围较大，建议客户尽快做好自查及防护。
目前官方已发布补丁更新，建议受影响用户安装 2023年8月8日 发布的补丁 ：
https://www.smartbi.com.cn/patchinfo
登录后台->右上角系统监控->系统补丁->安装补丁->在线更新
下载补丁->登录后台->右上角系统监控->系统补丁->安装补丁->手动更新
补丁下载地址：https://www.smartbi.com.cn/patchinfo
详情可参考：https://wiki.smartbi.com.cn/pages/viewpage.action?pageId=50692623
原文始发于微信公众号（信息安全大事件）：Smartbi Token 回调地址漏洞(QVD-2023-18159)安全风险通告
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
点赞
https://cn-sec.com/archives/1951167.html
复制链接
复制链接
-
左青龙
- 微信扫一扫
-
-
右白虎
- 微信扫一扫
-
评论