漏洞概述 | |||
漏洞名称 | 用友U8Cloud ServiceDispatcher反序列化漏洞 | ||
漏洞编号 | QVD-2023-22491 | ||
公开时间 | 2023-08-31 | 影响对象数量级 | 万级 |
奇安信评级 | 高危 | CVSS 3.1分数 | 9.8 |
威胁类型 | 命令执行 | 利用可能性 | 高 |
POC状态 | 已公开 | 在野利用状态 | 未发现 |
EXP状态 | 未公开 | 技术细节状态 | 未公开 |
危害描述:未授权情况下可以命令执行,致系统被攻击与控制。 |
(注:奇安信CERT的漏洞深度分析报告包含此漏洞的POC及技术细节,订阅方式见文末。)
01 漏洞详情
影响组件
用友U8Cloud是一款企业级ERP,用于协助企业实现业务协同和流程管理的高效化和数字化。
漏洞描述
近日,奇安信CERT监测到用友U8Cloud ServiceDispatcher反序列化漏洞(QVD-2023-22491):未经身份验证的远程攻击者通过ServiceDispatcher接口发送恶意数据包,利用反序列化数据包,成功利用该漏洞可以命令执行,导致系统被攻击与控制。
鉴于此漏洞利用难度低,建议受影响用户尽快安装补丁,部署WAF、RASP等工具,同时避免用友U8Cloud系统暴露在公网。
02 影响范围
影响版本
U8Cloud所有版本
其他受影响组件
无
03 复现情况
奇安信椒图安全研究员已成功复现用友U8Cloud ServiceDispatcher反序列化漏洞,截图如下:
04 处置建议
安全更新
官方已发布升级补丁包,可在官方公告中进行下载安装https://security.yonyou.com/#/patchInfo?foreignKey=7bd5b43e2c984a618b2b1d3f288110ae
建议客户部署WAF、RASP等工具,同时应避免用友U8Cloud系统暴露在公网。
05 参考资料
[1]https://security.yonyou.com/#/patchInfo?foreignKey=7bd5b43e2c984a618b2b1d3f288110ae
声明:本文来自奇安信 CERT,版权归作者所有。文章内容仅代表作者独立观点,不代表安全内参立场,转载目的在于传递更多信息。如有侵权,请联系 anquanneican@163.com。
评论(0)