通达OA多个清静误差通告

宣布时间 2020-08-21

0x00 误差概述


克日，，，通达OA被爆出多个清静误差，，，其中包括通达OA V11.6版本中的文件删除误差，，，该误差与通达OA < V11.7版本的文件上传误差组合使用，，，可导致恶意文件上传，，，最终获取效劳器系统权限。。。。。。。若连系通达OA < V11.5版本的恣意用户登录误差，，，则可扩大误差影响规模至通达OA < V11.5版本。。。。。。。


0x01 误差详情

   

图片1.png


通达OA是由北京通达信科科技有限公司自主研发的协同办公自动化软件，，，为各行业差别规模的众多用户提供信息化治理能力，，，包括流程审批、行政办公、一样平常事务、数据统计剖析、即时通讯、移动办公等，，，资助宽大用户降低相同和治理本钱，，，提升生产和决议效率。。。。。。。

通达OA 中保存多个高危误差，，，攻击者可通过结构HTTP请求举行文件删除和恣意文件上传操作，，，组合使用这两个误差可导致恶意文件上传，，，最终获取效劳器系统权限。。。。。。。别的，，，攻击者还可以连系使用通达OA历史版本的恣意用户登录误差，，，从而绕过登录权限，，，举行恣意文件上传，，，最终控制效劳器。。。。。。。


影响规模：

文件删除误差：通达OA V11.6版本

恣意文件上传误差：通达OA < V11.7版本

与恣意用户登录误差组合使用：通达OA < V11.5版本。。。。。。。


0x02 处置惩罚建议


现在厂商已宣布V11.7版本，，，下载链接：

https://www.tongda2000.com/download/sp2019.php


0x03 相关新闻


0x04 参考链接


https://www.tongda2000.com/


0x05 时间线


2020-08-21 VSRC宣布误差通告

 

图片2.png