严重 Yongyou FileManageServlet 反序列化代码执行漏洞

CVE编号

N/A

利用情况

POC 已公开

补丁情况

官方补丁

披露时间

2023-10-16

漏洞描述

2023年10月，官方发布公告，修复了NC系统的FileParserServlet反序列化漏洞。由于系统未将用户传入的序列化数据进行过滤就直接执行了反序列化操作，结合系统本身存在的反序列化利用链，最终造成了命令执行的漏洞后果。

解决建议

1、设置其仅对可信地址开放。2、升级至最新版本，或者更新补丁重启服务，各版本补丁获取方式如下：补丁名称:65FileParserServlet反序列化漏洞补丁补丁编码:NCM_NC6.5_00_0010_20220720_GP_307921046

参考链接
https://security.yonyou.com/

阿里云评分 9.5

• 攻击路径 远程
• 攻击复杂度 容易
• 权限要求 无需权限
• 影响范围 全局影响
• EXP成熟度 POC 已公开
• 补丁情况 官方补丁
• 数据保密性 数据泄露
• 数据完整性 传输被破坏
• 服务器危害 服务器失陷
• 全网数量 N/A

CWE-ID	漏洞类型
CWE-502	可信数据的反序列化

Exp相关链接

- avd.aliyun.com