近日,国家信息安全漏洞共享平台(CNVD)发布了泛微e-cology OA系统存在SQL注入高危漏洞的预警通告。攻击者利用该漏洞,可在未授权的情况下进行SQL注入,获取数据库敏感信息。现将漏洞情况通报如下:
一、漏洞情况
泛微主要为企业构建全新的移动办公平台,该企业具有面向大中型企业的平台型产品e-cology、面向中小型企业的应用型产品e-office、面向小微型企业的云办公产品eteams,以及支持企业对接移动互联的移动办公平台e-mobile和快速对接微信、钉钉等平台的移动集成平台等。
泛微e-cologyOA系统的WorkflowCenterTreeData接口在使用Oracle数据库时,因其内置SQL语句拼接不严,导致泛微e-cology OA系统存在SQL注入高危漏洞。攻击者利用该漏洞,可在未授权的情况下,远程发送精心构造的SQL语句获取数据库敏感信息。
二、影响范围
泛微e-cology OA系统JSP版本。
三、处置建议
目前,泛微OA官方暂未发布修复漏洞补丁,请各单位关注泛微OA官方技术及时进行更新。
临时解决建议:
(一)利用参数检查方式,拦截带有SQL语法的参数传入应用程序;
(二)利用预编译的处理方式处理拼接了用户参数的SQL语句;
(三)在参数即将进入数据库执行前,对SQL语句的语义进行完整性检查,确认语义未发生变化;
(四)在出现SQL注入漏洞时,出现问题的参数拼接进SQL语句前进行过滤或校验,避免依赖程序起始防护代码;
(五)定期审计数据库执行日志,查看是否存在应用程序正常逻辑之外的SQL语句执行。
请广大受影响用户及时进行漏洞修复。
本文内容不用于商业目的,如涉及知识产权问题,请权利人联系博为峰小编(021-64471599-8017),我们将立即处理