通达OA多个清静误差通告

宣布时间 2020-08-21

0x00 误差概述


克日，，，，，，，，通达OA被爆出多个清静误差，，，，，，，，其中包括通达OA V11.6版本中的文件删除误差，，，，，，，，该误差与通达OA < V11.7版本的文件上传误差组合使用，，，，，，，，可导致恶意文件上传，，，，，，，，最终获取效劳器系统权限 。。。。。若连系通达OA < V11.5版本的恣意用户登录误差，，，，，，，，则可扩大误差影响规模至通达OA < V11.5版本 。。。。。


0x01 误差详情

   

图片1.png


通达OA是由北京通达信科科技有限公司自主研发的协同办公自动化软件，，，，，，，，为各行业差别规模的众多用户提供信息化治理能力，，，，，，，，包括流程审批、行政办公、一样平常事务、数据统计剖析、即时通讯、移动办公等，，，，，，，，资助宽大用户降低相同和治理本钱，，，，，，，，提升生产和决议效率 。。。。。

通达OA 中保存多个高危误差，，，，，，，，攻击者可通过结构HTTP请求举行文件删除和恣意文件上传操作，，，，，，，，组合使用这两个误差可导致恶意文件上传，，，，，，，，最终获取效劳器系统权限 。。。。。别的，，，，，，，，攻击者还可以连系使用通达OA历史版本的恣意用户登录误差，，，，，，，，从而绕过登录权限，，，，，，，，举行恣意文件上传，，，，，，，，最终控制效劳器 。。。。。


影响规模：

文件删除误差：通达OA V11.6版本

恣意文件上传误差：通达OA < V11.7版本

与恣意用户登录误差组合使用：通达OA < V11.5版本 。。。。。


0x02 处置惩罚建议


现在厂商已宣布V11.7版本，，，，，，，，下载链接：

https://www.tongda2000.com/download/sp2019.php


0x03 相关新闻


0x04 参考链接


https://www.tongda2000.com/


0x05 时间线


2020-08-21 VSRC宣布误差通告

 

图片2.png