aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X2pwZy9JYzNSZ2ZkbTk2ZEhNZHVsYjZXWXdMajhyd0VyYUNUUm9VRkZGekF6MmtNbXhJMWpJOHNyZHhYOWFmVkZkdFJyVWlhZ25SQXBScXJydEJJWnh2R1JJdUEvNjQw.jpg

0x00 漏洞背景

2020年06月04日, 360CERT监测发现国内安全组织发布了用友NC远程命令执行漏洞的风险通告,漏洞等级:高危。
用友NC是一款企业级管理软件,在大中型企业广泛使用。实现建模、开发、继承、运行、管理一体化的IT解决方案信息化平台。
用友NC存在反序列化漏洞,攻击者通过构造特定的HTTP请求,可以在目标服务器上远程执行任意命令。
目前该漏洞暂无安全补丁发布,360CERT建议广大用户做好资产自查以及预防工作,以免遭受黑客攻击。

0x01 风险等级

360CERT对该漏洞的评定结果如下

评定方式等级
威胁等级高危
影响面一般

0x02 影响版本

用友NC:全版本

0x03 修复建议

  • 用友NC为商业软件,可直接联系用友官方获得安全升级方案。
  • 在官方安全补丁发布之前,建议相关企业严格限制用友NC的访问权限,禁止外部IP请求用友NC应用。

0x04 时间线

  • 2020-06-04 国家电网公司信息与网络安全重点实验室发布漏洞通告
  • 2020-06-04 360CERT发布漏洞通告
Last modification:June 7th, 2020 at 09:13 pm