通达OA多个清静误差通告

宣布时间 2020-08-21

0x00 误差概述


克日，通达OA被爆出多个清静误差，其中包括通达OA V11.6版本中的文件删除误差，该误差与通达OA < V11.7版本的文件上传误差组合使用，可导致恶意文件上传，最终获取服务器系统权限。若团结通达OA < V11.5版本的恣意用户登录误差，则可扩大误差影响规模至通达OA < V11.5版本。


0x01 误差详情

   

图片1.png


通达OA是由北京通达信科科技有限公司自主研发的协同办公自动化软件，为各行业差别规模的众多用户提供信息化管理能力，包括流程审批、行政办公、一样平常事务、数据统计剖析、即时通讯、移动办公等，资助宽大用户降低相同和管理本钱，提升生产和决议效率。

通达OA 中保存多个高危误差，攻击者可通过结构HTTP请求举行文件删除和恣意文件上传操作，组合使用这两个误差可导致恶意文件上传，最终获取服务器系统权限。别的，攻击者还可以团结使用通达OA历史版本的恣意用户登录误差，从而绕过登录权限，举行恣意文件上传，最终控制服务器。


影响规模：

文件删除误差：通达OA V11.6版本

恣意文件上传误差：通达OA < V11.7版本

与恣意用户登录误差组合使用：通达OA < V11.5版本。


0x02 处置惩罚建议


现在厂商已宣布V11.7版本，下载链接：

https://www.tongda2000.com/download/sp2019.php


0x03 相关新闻


0x04 参考链接


https://www.tongda2000.com/


0x05 时间线


2020-08-21 VSRC宣布误差通告

 

图片2.png