通达OA多个清静误差通告

宣布时间 2020-08-21

0x00 误差概述


克日，，，，，，，通达OA被爆出多个清静误差，，，，，，，其中包括通达OA V11.6版本中的文件删除误差，，，，，，，该误差与通达OA < V11.7版本的文件上传误差组合使用，，，，，，，可导致恶意文件上传，，，，，，，最终获取效劳器系统权限。。。。。。若连系通达OA < V11.5版本的恣意用户登录误差，，，，，，，则可扩大误差影响规模至通达OA < V11.5版本。。。。。。


0x01 误差详情

   

图片1.png


通达OA是由北京通达信科科技有限公司自主研发的协同办公自动化软件，，，，，，，为各行业差别规模的众多用户提供信息化治理能力，，，，，，，包括流程审批、行政办公、一样平常事务、数据统计剖析、即时通讯、移动办公等，，，，，，，资助宽大用户降低相同和治理本钱，，，，，，，提升生产和决议效率。。。。。。

通达OA 中保存多个高危误差，，，，，，，攻击者可通过结构HTTP请求举行文件删除和恣意文件上传操作，，，，，，，组合使用这两个误差可导致恶意文件上传，，，，，，，最终获取效劳器系统权限。。。。。。别的，，，，，，，攻击者还可以连系使用通达OA历史版本的恣意用户登录误差，，，，，，，从而绕过登录权限，，，，，，，举行恣意文件上传，，，，，，，最终控制效劳器。。。。。。


影响规模：

文件删除误差：通达OA V11.6版本

恣意文件上传误差：通达OA < V11.7版本

与恣意用户登录误差组合使用：通达OA < V11.5版本。。。。。。


0x02 处置惩罚建议


现在厂商已宣布V11.7版本，，，，，，，下载链接：

https://www.tongda2000.com/download/sp2019.php


0x03 相关新闻


0x04 参考链接


https://www.tongda2000.com/


0x05 时间线


2020-08-21 VSRC宣布误差通告

 

图片2.png