关于泛微e-cology OA系统存在SQL注入高危漏洞的紧急预警通报

sinye56 2024-09-22 08:32 18 浏览 0 评论

近日，国家信息安全漏洞共享平台（CNVD）发布了泛微e-cology OA系统存在SQL注入高危漏洞的预警通告。攻击者利用该漏洞，可在未授权的情况下进行SQL注入，获取数据库敏感信息。现将漏洞情况通报如下：

一、漏洞情况

泛微主要为企业构建全新的移动办公平台，该企业具有面向大中型企业的平台型产品e-cology、面向中小型企业的应用型产品e-office、面向小微型企业的云办公产品eteams，以及支持企业对接移动互联的移动办公平台e-mobile和快速对接微信、钉钉等平台的移动集成平台等。

泛微e-cologyOA系统的WorkflowCenterTreeData接口在使用Oracle数据库时,因其内置SQL语句拼接不严，导致泛微e-cology OA系统存在SQL注入高危漏洞。攻击者利用该漏洞，可在未授权的情况下，远程发送精心构造的SQL语句获取数据库敏感信息。

二、影响范围

泛微e-cology OA系统JSP版本。

三、处置建议

目前，泛微OA官方暂未发布修复漏洞补丁，请各单位关注泛微OA官方技术及时进行更新。

临时解决建议：

（一）利用参数检查方式，拦截带有SQL语法的参数传入应用程序；

（二）利用预编译的处理方式处理拼接了用户参数的SQL语句；

（三）在参数即将进入数据库执行前，对SQL语句的语义进行完整性检查，确认语义未发生变化；

（四）在出现SQL注入漏洞时，出现问题的参数拼接进SQL语句前进行过滤或校验，避免依赖程序起始防护代码；

（五）定期审计数据库执行日志，查看是否存在应用程序正常逻辑之外的SQL语句执行。

请广大受影响用户及时进行漏洞修复。

附件：参考链接

https://www.cnvd.org.cn/webinfo/show/5235

相关推荐