灵通OA多个安全缝隙公告

颁布功夫 2020-08-21

0x00 缝隙概述


近日， ， ，， ，，灵通OA被爆出多个安全缝隙， ， ，， ，，其中蕴含灵通OA V11.6版本中的文件删除缝隙， ， ，， ，，该缝隙与灵通OA < V11.7版本的文件上传缝隙组合利用， ， ，， ，，可导致恶意文件上传， ， ，， ，，最终获取服务器系统权限。。。。。。若结合灵通OA < V11.5版本的肆意用户登录缝隙， ， ，， ，，则可扩大缝隙影响领域至灵通OA < V11.5版本。。。。。。


0x01 缝隙详情

   

图片1.png


灵通OA是由北京灵通讯科科技有限公司自主研发的协同办公自动化软件， ， ，， ，，为各行业分歧规模的多多用户提供信息化治理能力， ， ，， ，，蕴含流程审批、行政办公、日常事务、数据统计分析、即时通讯、移动办公等， ， ，， ，，援手宽大用户降低沟通和治理成本， ， ，， ，，提升出产和决策效能。。。。。。

灵通OA 中存在多个高危缝隙， ， ，， ，，攻击者可通过机关HTTP要求进行文件删除和肆意文件上传操作， ， ，， ，，组合利用这两个缝隙可导致恶意文件上传， ， ，， ，，最终获取服务器系统权限。。。。。。此表， ， ，， ，，攻击者还能够结合利用灵通OA汗青版本的肆意用户登录缝隙， ， ，， ，，从而绕过登录权限， ， ，， ，，进行肆意文件上传， ， ，， ，，最终节造服务器。。。。。。


影响领域：

文件删除缝隙：灵通OA V11.6版本

肆意文件上传缝隙：灵通OA < V11.7版本

与肆意用户登录缝隙组合利用：灵通OA < V11.5版本。。。。。。


0x02 措置建议


目前厂商已颁布V11.7版本， ， ，， ，，下载链接：

https://www.tongda2000.com/download/sp2019.php


0x03 有关新闻


0x04 参考链接


https://www.tongda2000.com/


0x05 功夫线


2020-08-21 VSRC颁布缝隙公告

 

图片2.png