泛微e-cology OA系统SQL注入误差清静通告

宣布时间 2019-10-10

误差编号和级别


CVE编号：暂无，， ，，危险级别：高危，， ，，CVSS分值：厂商自评：7.8，， ，，官方未评定


影响版本


泛微e-cology OA系统 JSP版本


误差概述


泛微e-cology OA是海内应用普遍的OA解决计划。 。 。。。


泛微e-cology OA系统的WorkflowCenterTreeData接口在使用Oracle数据库时,由于内置SQL语句拼接不严，， ，，导致泛微e-cology OA系统保存SQL注入误差。 。 。。。攻击者使用该误差，， ，，可在未授权的情形下，， ，，远程发送全心结构的SQL语句，， ，，从而获取数据库敏感信息。 。 。。。


对泛微e-cology OA系统JSP版本在我国境内的漫衍情形举行统计，， ，，效果显示使用该版本数目约为7430个。 。 。。。


误差验证


暂无POC/EXP。 。 。。。


修复建议


现在，， ，，泛微OA官方暂未宣布补丁，， ，，暂时解决计划如下：


1、使用参数检查的方法，， ，，阻挡带有SQL语法的参数传入应用程序；；；；

2、使用预编译的处置惩罚方法处置惩罚拼接了用户参数的SQL语句；；；；

3、在参数即将进入数据库执行之前，， ，，对SQL语句的语义举行完整性检查，， ，，确认语义没有爆发转变；；；；

4、在泛起SQL注入误差时，， ，，要在泛起问题的参数拼接进SQL语句前举行过滤或者校验，， ，，不要依赖程序最最先处防护代码；；；；

5、按期审计数据库执行日志，， ，，审查是否保存应用程序正常逻辑之外的SQL 语句执行


参考链接


https://mp.weixin.qq.com/s/iB22Npjcyv8vFgKx8sLR8Q