01 漏洞概况
金蝶天燕-ApusicServer pdfViewLocal.jsp 文件存在任意文件读取漏洞,攻击者利用此漏洞可以读取服务器任意文件,导致敏感信息泄露。
02 漏洞处置
综合处置优先级:高
漏洞信息
漏洞名称
ApusicServer pdfViewLocal.jsp 任意文件读取漏洞
漏洞编号
CVE编号
无
漏洞评估
披露时间
2024-01-03
漏洞类型
任意文件读取
危害评级
高危
公开程度
PoC未公开
威胁类型
远程
利用情报
在野利用
是
影响产品
产品名称
金蝶天燕-ApusicServer
受影响版本
<V9.0 SP8
影响范围
广
有无修复补丁
有
01 漏洞概况
02 漏洞处置
综合处置优先级:高
漏洞信息 |
漏洞名称 |
ApusicServer pdfViewLocal.jsp 任意文件读取漏洞 |
漏洞编号 |
CVE编号 |
无 |
漏洞评估 |
披露时间 |
2024-01-03 |
漏洞类型 |
任意文件读取 |
|
危害评级 |
高危 |
|
公开程度 |
PoC未公开 |
|
威胁类型 |
远程 |
|
利用情报 |
在野利用 |
是 |
影响产品 |
产品名称 |
金蝶天燕-ApusicServer |
受影响版本 |
<V9.0 SP8 |
|
影响范围 |
广 |
|
有无修复补丁 |
有 |
03 漏洞排查
用户尽快排查应用系统是否升级到V9.0 SP8版本
04 修复方案
1、官方修复方案:
停止应用服务器后,进行如下的操作
1) 暂停应用服务器管理控制台和移除默认首页。
普通的管理控制台的安装文件: <安装目录>libwebtool.war
安全管理控制台的安全文件: <安装目录>libadmin.war
首页在<应用服务器安装目录>domainsmydomainapplications defaultpublic_htmlindex.jsp
操作步骤:移除上述文件(webtool.war或admin.war、index.jsp)
2) 更新补丁任意文件下载问题修复补丁
在地址http://file.apusic.com/sharing/vVHoyV0jR的“任意文件下载问题补丁”目录下,下载修复该漏洞的补丁,不同的版本下载的不同的补丁:
V9.0 SP1/SP2版本下载文件名为fix-over-authority-sp1-2.jar的补丁;
V9.0 SP3版本下载文件名为fix-over-authority-sp3.jar的补丁;
V9.0 SP4/SP5版本下载文件名为fix-over-authority-sp4-5.jar的补丁;
V9.0 SP6/SP7版本下载文件名为fix-over-authority-sp6-7.jar的补丁;把下载的补丁文件拷贝到<安装目录>sp目录下。
3) 重新启动应用服务器,访问系统确认是否正常。
05 时间线
2023.12.07 厂商发布安全补丁
2024.01.11 安迈信科安全运营团队发布通告
原文始发于微信公众号(安迈信科应急响应中心):【漏洞通告】金蝶天燕-ApusicServer pdfViewLocal.jsp 任意文件读取漏洞
03 漏洞排查
04 修复方案
1) 暂停应用服务器管理控制台和移除默认首页。
普通的管理控制台的安装文件: <安装目录>libwebtool.war
安全管理控制台的安全文件: <安装目录>libadmin.war
首页在<应用服务器安装目录>domainsmydomainapplications defaultpublic_htmlindex.jsp
操作步骤:移除上述文件(webtool.war或admin.war、index.jsp)
2) 更新补丁任意文件下载问题修复补丁
在地址http://file.apusic.com/sharing/vVHoyV0jR的“任意文件下载问题补丁”目录下,下载修复该漏洞的补丁,不同的版本下载的不同的补丁:
V9.0 SP1/SP2版本下载文件名为fix-over-authority-sp1-2.jar的补丁;
V9.0 SP3版本下载文件名为fix-over-authority-sp3.jar的补丁;
V9.0 SP4/SP5版本下载文件名为fix-over-authority-sp4-5.jar的补丁;
V9.0 SP6/SP7版本下载文件名为fix-over-authority-sp6-7.jar的补丁;把下载的补丁文件拷贝到<安装目录>sp目录下。
3) 重新启动应用服务器,访问系统确认是否正常。
05 时间线
原文始发于微信公众号(安迈信科应急响应中心):【漏洞通告】金蝶天燕-ApusicServer pdfViewLocal.jsp 任意文件读取漏洞
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论