灵通OA多个安全缝隙公告

颁布功夫 2020-08-21

0x00 缝隙概述


近日，灵通OA被爆出多个安全缝隙，其中蕴含灵通OA V11.6版本中的文件删除缝隙，该缝隙与灵通OA < V11.7版本的文件上传缝隙组合利用，可导致恶意文件上传，最终获取服务器系统权限。若结合灵通OA < V11.5版本的肆意用户登录缝隙，则可扩大缝隙影响领域至灵通OA < V11.5版本。


0x01 缝隙详情

   

图片1.png


灵通OA是由北京灵通讯科科技有限公司自主研发的协同办公自动化软件，为各行业分歧规模的多多用户提供信息化治理能力，蕴含流程审批、行政办公、日常事务、数据统计分析、即时通讯、移动办公等，援手宽大用户降低沟通和治理成本，提升出产和决策效能。

灵通OA 中存在多个高危缝隙，攻击者可通过机关HTTP要求进行文件删除和肆意文件上传操作，组合利用这两个缝隙可导致恶意文件上传，最终获取服务器系统权限。此表，攻击者还能够结合利用灵通OA汗青版本的肆意用户登录缝隙，从而绕过登录权限，进行肆意文件上传，最终节造服务器。


影响领域：

文件删除缝隙：灵通OA V11.6版本

肆意文件上传缝隙：灵通OA < V11.7版本

与肆意用户登录缝隙组合利用：灵通OA < V11.5版本。


0x02 措置建议


目前厂商已颁布V11.7版本，下载链接：

https://www.tongda2000.com/download/sp2019.php


0x03 有关新闻


0x04 参考链接


https://www.tongda2000.com/


0x05 功夫线


2020-08-21 VSRC颁布缝隙公告

 

图片2.png