专栏名称: 微步在线研究响应中心

微步情报局最新威胁事件分析、漏洞分析、安全研究成果共享，探究网络攻击的真相

漏洞通告 | 用友 NC 多个 RCE 漏洞

微步在线研究响应中心 · 公众号 · · 2024-04-02 17:00

正文

漏洞概况

用友NC是用友软件股份有限公司开发的一套企业级管理软件系统。它是一个基于互联网的多层应用系统，旨在为中大型企业提供全面、集成的管理解决方案。

微步漏洞团队通过“X 漏洞奖励计划”获取到用友NC多个SQL注入漏洞情报。

https://x.threatbook.com/v5/vul/XVE-2023-29121
https://x.threatbook.com/v5/vul/XVE-2023-29120
https://x.threatbook.com/v5/vul/XVE-2023-29119

攻击者通过利用上述SQL注入漏洞，可获取数据库敏感数据，并配合数据库xp_cmdshell可以执行任意命令，从而控制服务器，获得服务器权限。经过分析与研判，该漏洞利用难度低，建议尽快修复。

漏洞处置优先级(VPT)

综合处置优先级：高

基本信息

微步编号

XVE-2023-29121

XVE-2023-29120

XVE-2023-29119

漏洞类型

SQL注入 to RCE

利用条件评估

利用漏洞的网络条件

远程

是否需要绕过安全机制

不需要

对被攻击系统的要求

默认配置

利用漏洞的权限要求

无需任何权限

是否需要受害者配合

不需要

利用情报

POC是否公开

否

微步已捕获攻击行为

否

漏洞影响范围

产品名称	用友NC
受影响版本	version ≤ 6.5
影响范围	千级
有无修复补丁	有

前往X情报社区资产测绘查看影响资产详情：

https://x.threatbook.com/v5/survey?q=app%3D"用友NC"

漏洞复现

修复方案

官方修复方案：

厂商已发布漏洞修复程序，请前往以下地址下载：

XVE-2023-29119: https://security.yonyou.com/#/noticeInfo?id=521
XVE-2023-29120: https://security.yonyou.com/#/noticeInfo?id=524
XVE-2023-29121: https://security.yonyou.com/#/noticeInfo?id=524

临时修复方案：

使用防护类设备对相关资产进行防护
如非必要，避免将资产暴露在互联网

微步产品侧支持情况

微步威胁感知平台TDP已支持检测。

X VE-2023-2 9121 ， TDP规则ID: S3100126663、S3100126664，模型/规则高于20231016000000可检出。

XVE-2023-29120，TDP规则ID：S3100126659、S3100126660，模型/规则高于20231016000000可检出。

XVE-2023-29119，TDP规则ID：S3100126654、S3100126655，模型/规则高于20231016000000可检出。

微步安全情报网关OneSIG支持XVE-2023-29120防护，SIG规则ID：3100126660。

时间线

2023.09 微步"X漏洞奖励计划"获取该漏洞相关情报
2023.10 TDP和OneSIG支持检测和防护
2024.03 厂商发布补丁
2024.04 微步发布报告

网安人不容错过的年度盛会——CSOP 2024 正在火热报名中，只有干货，席位紧俏。扫码立即报名北京站大会 ↓ ↓ ↓

请到「今天看啥」查看全文

推荐文章

英国大家谈 · 英国大家谈商务合作及转载须知

15 小时前

晨枫老苑 · 战斗机换发是否需要重新研发发动机数控

昨天

晨枫老苑 · 战斗机换发是否需要重新研发发动机数控

昨天

英国那些事儿 · 157头伪虎鲸集体搁浅！然而救援困难，人们决定把它们全杀了...这？

2 天前

国家林业和草原局 · 新闻联播：我国古树名木保护取得积极进展

2 天前

国家林业和草原局 · 新闻联播：我国古树名木保护取得积极进展

2 天前

英国大家谈 · 悲剧！23名中国人遇难命丧海滩，只因他们做了这件小事…

3 天前

包容万象 · 6岁被嘲笑，16岁辍学，28岁被骂玩物丧志，如今这个“疯子”农民震惊了所有人

7 年前

价值线 · 突发 | 野蛮执法撂倒抱孩子的妇女，无视生命的警察太可怕！

7 年前

银行螺丝钉 · 学院精选问答(红利机会和上证红利有什么差别？ )

7 年前

原理 · 什么是空间？

7 年前

读懂财经 · 集合竞价准备好了！本周六交易系统通关测试，下周一正式上线

7 年前