用友NC是一款企业级ERP软件。作为一种信息化管理工具,用友NC提供了一系列业务管理模块,包括财务会计、采购管理、销售管理、物料管理、生产计划和人力资源管理等,帮助企业实现数字化转型和高效管理。

近日,奇安信CERT监测到用友NC反序列化漏洞(QVD-2023-11795)。远程未授权攻击者可向目标服务器发送恶意请求包,最终实现任意代码执行。值得注意的是该系统存在其他反序列化漏洞,属代码设计问题,建议受影响用户尽快安装补丁,部署WAF、RASP等工具,同时避免用友NC系统暴露在公网。鉴于此漏洞影响范围较大,建议客户尽快做好自查及防护。

漏洞名称

用友NC反序列化漏洞

公开时间

2023-03-28

更新时间

2023-05-18

CVE编号

暂无

其他编号

QVD-2023-11795

威胁类型

代码执行

技术类型

反序列化错误

厂商

用友网络科技股份有限公司

产品

用友NC

风险等级

奇安信CERT风险评级

风险等级

高危

蓝色(一般事件)

现时威胁状态

POC状态

EXP状态

在野利用状态

技术细节状态

已公开

未公开

未发现

未公开

漏洞描述

用友 NC 系统中存在反序列化漏洞,远程未授权攻击者可向目标服务器发送恶意请求包,最终实现任意代码执行。

影响版本

NC <= 6.5

其他受影响组件

目前,奇安信CERT已成功复现用友NC反序列化漏洞(QVD-2023-11795),截图如下:

威胁评估

漏洞名称

用友NC反序列化漏洞

CVE编号

暂无

其他编号

QVD-2023-11795

CVSS 3.1评级

高危

CVSS 3.1分数

9.8

CVSS向量

访问途径(AV

攻击复杂度(AC

网络

所需权限(PR

用户交互(UI

不需要

影响范围(S

机密性影响(C

不改变

完整性影响(I

可用性影响(A

危害描述

远程未授权攻击者可构造恶意payload从而获取服务器权限。

处置建议

1、目前官方已发布补丁更新,建议受影响用户尽快安装补丁:

https://security.yonyou.com/#/patchList

2、建议部署WAF、RASP等工具,同时避免用友NC系统暴露在公网。

参考资料

[1]https://security.yonyou.com/#/patchList

声明:本文来自奇安信 CERT,版权归作者所有。文章内容仅代表作者独立观点,不代表安全内参立场,转载目的在于传递更多信息。如有侵权,请联系 anquanneican@163.com。