金蝶Apusic应用服务器是一款企业级应用服务器，支持Java EE技术，适用于各种商业环境。由于金蝶Apusic应用服务器权限验证不当，导致攻击者可以向接口执行JNDI注入，造成远程代码执行。
AAS-V9.0/lib/webtool.war
里面新增加的JNDI相关修复代码
可以看到对jndiName做了黑名单过滤处理
调用点有很多
datasource下面有
jms下面有 factory queue topic
jndicontroller下面也有好些接口有 比如公告出来的loadtree 等等等
原文始发于微信公众号（FXDSecurity）：金蝶Apusic应用服务器 JNDI注入漏洞浅析
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论