（注：奇安信CERT的漏洞深度分析报告包含此漏洞的POC及技术细节，订阅方式见文末。）
影响组件
金蝶Apusic应用服务器是一款企业级应用服务器，支持Java EE技术，适用于各种商业环境。
漏洞描述
近日，奇安信CERT监测到金蝶Apusic应用服务器 JNDI注入漏洞(QVD-2023-48476)，金蝶Apusic应用服务器是一款企业级应用服务器，支持Java EE技术，适用于各种商业环境。由于金蝶Apusic应用服务器权限验证不当，导致攻击者可以向createDataSource接口执行JNDI注入，造成远程代码执行。利用该漏洞需低版本JDK且需要服务器上有数据库驱动。
鉴于该漏洞影响范围较大，建议客户尽快做好自查及防护。
影响版本
金蝶Apusic应用服务器 <= V9.0 SP7
不受影响版本
金蝶Apusic应用服务器 > V9.0 SP7
其他受影响组件
无
目前，奇安信CERT已成功复现该漏洞，截图如下：
奇安信鹰图资产测绘平台数据显示金蝶Apusic应用服务器 JNDI注入漏洞(QVD-2023-48476)，国内风险资产分布情况如下：
安全更新
官方已发布补丁修复漏洞，建议尽快安装补丁修复漏洞。官方补丁下载地址：http://file.apusic.com/sharing/vVHoyV0jR，下载对应版本补丁后，进行如下步骤：
1、停止应用服务器，备份对应的文件(admin.war或webtool.war、razor.jar、index.jsp)；
2、把razor.jar覆盖<安装目录>lib目录下对应的文件；
3、如果<安装目录>lib目录下存在webtool.war，则使用webtool.war文件进行覆盖；如果<安装目录>lib目录下存在admin.war，把使用admin.war文件进行覆盖(webtool.war与admin.war不同时使用)；
4、通过在<安装目录>domainsmydomainvm.options文件，设置参数控制访问管控台的远程客户端(默认只能服务器本机能访问),下面例子是设置172.168.1.2可以访问，根据实际修改，多个地址用逗号分隔:
com.apusic.admin.allowHosts=172.168.1.2
com.apusic.webtool.allowHosts=172.168.1.2
5、把index.jsp覆盖到<安装目录>domainsmydomainapplications defaultpublic_html目录下；
6、把下载的修复任意文件下载的补丁文件拷贝到<安装目录>sp目录下；
7、重新启动应用服务器；
8、确认服务器是否可以正常访问；
也可以在https://file.apusic.com/fsdownload/NWWuyE3Q6/product下载并安装V9.0 SP8版本
缓解措施
在确认不影响业务的情况下，进行如下操作缓解漏洞：
暂时暂停应用服务器管理控制台并移除默认首页，删除如下文件webtool.war或admin.war、index.js，文件路径：
普通的管理控制台的安装文件: <安装目录>libwebtool.war
安全管理控制台的安全文件: <安装目录>libadmin.war
首页：<应用服务器安装目录>domainsmydomainapplications defaultpublic_htmlindex.jsp
如非必要，不要将 受影响系统 放置在公网上。或通过网络ACL策略限制访问来源，例如只允许来自特定IP地址或地址段的访问请求。
[1]https://www.apusic.com/view-477-113.html
2023年12月22日，奇安信 CERT发布安全风险通告。
原文始发于微信公众号（奇安信 CERT）：【已复现】金蝶Apusic应用服务器 JNDI注入漏洞(QVD-2023-48476)安全风险通告
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论