【风险通告】Smartbi存在登录代码逻辑漏洞

漏洞公告

近日，安恒信息CERT监测到Smartbi存在登录代码逻辑漏洞，目前技术细节及PoC未公开。攻击者可以通过该漏洞访问敏感信息。

中央研究院已复现此漏洞。

Smartbi存在登录代码逻辑漏洞复现截图

漏洞信息

Smartbi 是一种数据分析和可视化工具，用于帮助企业和组织从海量数据中提取有用的信息，做出更明智的决策。Smartbi 提供了丰富的数据分析和报告功能，使用户能够快速、直观地理解和探索数据。它支持多种数据源的连接，包括关系型数据库、大数据平台、云服务等，以获取数据并进行分析。

该产品主要使用客户行业分布广泛，漏洞危害性高，建议客户尽快做好自查及防护。

官方修复方案：

官方已发布修复方案，受影响的用户建议及时下载补丁包进行漏洞修复
https://www.smartbi.com.cn/patchinfo

临时缓解措施：

非必要不建议将该系统暴露在公网

网络空间资产测绘

根据安恒Sumap全球网络空间资产测绘近三个月数据显示，该资产主要分布在中国。建议客户尽快做好资产排查。

产品能力覆盖‍‍‍

目前安恒信息已有9款产品覆盖该漏洞检测与防护。

产品名称	覆盖补丁包
AiLPHA大数据平台	AiNTA-v1.2.5_release_ruletag_1.1.1141
AXDR平台的流量探针	AiNTA-v1.2.5_release_ruletag_1.1.1141
APT攻击预警平台	GoldenEyeIPv6_4A1E0_strategy2.0.27325.230704.1.encrypt.tar.gz及以上
明鉴漏洞扫描系统	1.3.1005.1088
明鉴远程安全评估系统	1.3.1005.1088
云鉴版漏洞扫描系统	1.3.1005.1088
WebScan7	1.0.1.93
WAF	已支持
玄武盾	已支持