创宇安全智脑是基于知道创宇16年来AI+安全大数据在真实攻防场景中的经验积累构建的下一代全场景安全智能算力平台。平台拥有海量真实攻防数据和安全大数据持续生产能力；结合面向多个实战场景的AI智能模型，持续汇聚、萃取和分析，实时输出高精准高价值威胁情报、安全态势、攻防策略；持续全场景赋能知道创宇全产品矩阵和安全托管服务。
创宇安全智脑目前已经联动支撑知道创宇全产品矩阵，包括：创宇盾、抗D保、ScanV、ZoomEye、创宇蜜罐、创宇云图、创宇云影、创宇猎幽、创宇威胁情报网关等。
本周累计更新漏洞插件84个，其中重点插件10个
详情如下：
更新列表
漏洞详情
新增插件：
1、用友NC Cloud printBill 任意文件读取
发布时间：2024-10-23
漏洞等级：高危
漏洞来源：创宇安全智脑
漏洞描述：
用友 NC Cloud 是用友公司推出的大型企业数字化平台，基于云原生架构，深度应用新一代数字技术，打造开放、互联、融合、智能的一体化云平台。用友NC Cloud printBill 接口存在任意文件读取漏洞。未经授权的远程攻击者可以利用该漏洞，造成敏感信息泄露。
漏洞危害：
未经授权的远程攻击者可以利用该漏洞，造成敏感信息泄露。
建议解决方案：
用友安全中心已发布漏洞公告，请尽快前往下载更新补丁（https://security.yonyou.com/#/noticeInfo?id=546）。
影响范围：
根据ZoomEye网络空间搜索引擎关键字 app:"Yonyou NC Cloud" 对潜在可能目标进行搜索，共得到6860条IP历史记录。主要分布在中国、新加坡等国家。
（ZoomEye搜索链接：
https://www.zoomeye.org/searchResult?q=app%3A%22Yonyou%20NC%20Cloud%22）
区域分布：
2、灵当 CRM weixinmp/index.php 任意文件上传
发布时间：2024-10-23
漏洞等级：高危
漏洞来源：创宇安全智脑
漏洞描述：
灵当 CRM 是一款由上海灵当信息科技有限公司开发的客户关系管理软件。
灵当 CRM weixinmp/index.php 接口存在任意文件上传漏洞。未经授权的远程攻击者可上传恶意文件至服务器，远程执行任意代码，获取系统权限。
漏洞危害：
未经授权的远程攻击者可上传恶意文件至服务器，远程执行任意代码，获取系统权限。
建议解决方案：
及时更新至最新版本，使用白名单进行验证，并将上传文件保存在非 Web 可访问的目录中。
影响范围：
根据ZoomEye网络空间搜索引擎关键字 app:"灵当 CRM" 对潜在可能目标进行搜索，共得到4093条IP历史记录。主要分布在中国、日本等国家。
（ZoomEye搜索链接：
https://www.zoomeye.org/searchResult?q=app%3A%22%E7%81%B5%E5%BD%93%20CRM%22）
区域分布：
3、灵当 CRM pdf.php 任意文件读取
发布时间：2024-10-23
漏洞等级：高危
漏洞来源：创宇安全智脑
漏洞描述：
灵当CRM是一款由上海灵当信息科技有限公司开发的客户关系管理软件，适用于以销售和服务业务为主的中小型企业。灵当 CRM pdf.php 接口存在任意文件读取漏洞。未经授权的远程攻击者可以利用该漏洞，造成敏感信息泄露。
漏洞危害：
未经授权的远程攻击者可以利用该漏洞，造成敏感信息泄露。
建议解决方案：
及时更新至最新版本，使用白名单限定访问文件的路径、名称及后缀名，严格过滤用户输入字符的合法性，比如文件类型、文件地址、文件内容等，并确保使用时进行输入验证和过滤，以防止参数中包含非法字符。
影响范围：
根据ZoomEye网络空间搜索引擎关键字 app:"灵当 CRM" 对潜在可能目标进行搜索，共得到4093条IP历史记录。主要分布在中国、日本等国家。
（ZoomEye搜索链接：
https://www.zoomeye.org/searchResult?q=app%3A%22%E7%81%B5%E5%BD%93%20CRM%22）
区域分布：
4、大华ICC智能物联综合管理平台 info 敏感信息泄露
发布时间：2024-10-23
漏洞等级：高危
漏洞来源：创宇安全智脑
漏洞描述：
大华 ICC 智能物联综合管理平台是一套基于智能物联的综合业务管理平台软件。大华ICC智能物联综合管理平台 info 接口存在敏感信息泄露漏洞。未经授权的远程攻击者可以利用该漏洞，获取用户姓名、手机号等敏感信息。
漏洞危害：
未经授权的远程攻击者可以利用该漏洞，获取用户姓名、手机号等敏感信息。
建议解决方案：
及时更新至最新版本，实施严格的访问控制机制，确保只有授权的用户或角色能够访问和处理敏感数据。
影响范围：
根据ZoomEye网络空间搜索引擎关键字 app:"大华ICC智能物联综合管理平台" 对潜在可能目标进行搜索，共得到6096条IP历史记录。主要分布在中国、越南等国家。
（ZoomEye搜索链接：
https://www.zoomeye.org/searchResult?q=app%3A%22%E5%A4%A7%E5%8D%8EICC%E6%99%BA%E8%83%BD%E7%89%A9%E8%81%94%E7%BB%BC%E5%90%88%E7%AE%A1%E7%90%86%E5%B9%B3%E5%8F%B0%22）
区域分布：
5、英飞达医学影像存档与通信系统 Upload.asmx 任意文件上传
发布时间：2024-10-22
漏洞等级：高危
漏洞来源：创宇安全智脑
漏洞描述：
英飞达医学影像存档与通信系统的主要任务是将医院影像科室日常产生的各种医学影像以数字化的方式进行海量保存。英飞达医学影像存档与通信系统 Upload.asmx 接口存在任意文件上传漏洞。未经授权的远程攻击者可上传恶意文件至服务器，远程执行任意代码，获取系统权限。
漏洞危害：
未经授权的远程攻击者可上传恶意文件至服务器，远程执行任意代码，获取系统权限。
建议解决方案：
及时更新至最新版本，使用白名单进行验证，并将上传文件保存在非 Web 可访问的目录中。
影响范围：
根据ZoomEye网络空间搜索引擎关键字 app:"英飞达医学影像存档与通信系统" 对潜在可能目标进行搜索，共得到3803条IP历史记录。主要分布在中国、韩国等国家。
（ZoomEye搜索链接：
https://www.zoomeye.org/searchResult?q=app%3A%22%E8%8B%B1%E9%A3%9E%E8%BE%BE%E5%8C%BB%E5%AD%A6%E5%BD%B1%E5%83%8F%E5%AD%98%E6%A1%A3%E4%B8%8E%E9%80%9A%E4%BF%A1%E7%B3%BB%E7%BB%9F%22）
区域分布：
6、用友NC Cloud
nc.itf.smart.ISmartQueryWebService XML外部实体注入
发布时间：2024-10-22
漏洞等级：高危
漏洞来源：创宇安全智脑
漏洞描述：
用友 NC Cloud 是用友公司推出的大型企业数字化平台，基于云原生架构，深度应用新一代数字技术，打造开放、互联、融合、智能的一体化云平台。用友NC Cloud nc.itf.smart.ISmartQueryWebService 接口存在XML外部实体注入漏洞。攻击者可以利用该漏洞访问远程恶意 XML 文件导致服务器端请求伪造（SSRF）和敏感信息泄露。
漏洞危害：
攻击者可以利用该漏洞访问远程恶意 XML 文件导致服务器端请求伪造（SSRF）和敏感信息泄露。
建议解决方案：
及时更新至最新版本，限制访问和过滤用户输入可帮助减少风险，建议在服务器配置中禁用外部实体解析以及合理设置应用程序或服务的权限，以防止XML外部实体注入漏洞。
影响范围：
根据ZoomEye网络空间搜索引擎关键字 app:"Yonyou NC Cloud" 对潜在可能目标进行搜索，共得到6860条IP历史记录。主要分布在中国、新加坡等国家。
（ZoomEye搜索链接：
https://www.zoomeye.org/searchResult?q=app%3A%22Yonyou%20NC%20Cloud%22）
区域分布：
7、DataEase < 1.18.25 PostgreSQL 反序列化（CVE-2024-47074）
发布时间：2024-10-18
漏洞等级：高危
漏洞来源：
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2024-47074
漏洞描述：
DataEase 是开源的数据可视化分析工具。DataEase < 1.18.25 数据源功能中的PostgreSQL数据源可以自定义JDBC连接参数和要连接的PG服务器目标。同时PgConfiguration类（位于
backend/src/main/java/io/dataease/provider/datasource/JdbcProvider.java）未对输入参数进行校验过滤，直接拼接用户输入。导致攻击者可通过构造恶意JDBC URL，触发反序列化漏洞，进而执行任意代码，获取服务器控制权限。
漏洞危害：
攻击者可通过构造恶意JDBC URL，触发反序列化漏洞，进而执行任意代码，获取服务器控制权限。
建议解决方案：
官方已发布新版本修复该漏洞，请及时更新至1.18.25及以上安全版本。
影响范围：
根据ZoomEye网络空间搜索引擎关键字 app:"DataEase" 对潜在可能目标进行搜索，共得到3496条IP历史记录。主要分布在中国、美国等国家。
（ZoomEye搜索链接：
https://www.zoomeye.org/searchResult?q=app%3A%22DataEase%22）
区域分布：
8、明源云ERP VisitorWeb_XMLHTTP.aspx SQL注入
发布时间：2024-10-21
漏洞等级：高危
漏洞来源：创宇安全智脑
漏洞描述：
明源云ERP是一款提供一键成本测算、电子签章、结佣全流程在线化、发票的一键开票以及智能查验等功能的ERP系统。
明源云ERP VisitorWeb_XMLHTTP.aspx 接口存在SQL注入漏洞。恶意攻击者可以利用该漏洞执行恶意的注入语句，获取敏感数据或篡改数据库。
漏洞危害：
恶意攻击者可以利用该漏洞执行恶意的注入语句，获取敏感数据或篡改数据库。
建议解决方案：
及时更新至最新版本，使用参数化查询或预编译语句并对输入进行过滤和验证，以防止SQL注入攻击。
影响范围：
根据ZoomEye网络空间搜索引擎关键字 app:"明源云ERP" 对潜在可能目标进行搜索，共得到8478条IP历史记录。主要分布在中国、新加坡等国家。
（ZoomEye搜索链接：
https://www.zoomeye.org/searchResult?q=app%3A%22%E6%98%8E%E6%BA%90%E4%BA%91ERP%22）
区域分布：
9、SRM 智联云采系统 testService SQL注入
发布时间：2024-10-18
漏洞等级：高危
漏洞来源：创宇安全智脑
漏洞描述：
SRM 智联云采系统是一个综合性的供应链管理平台，旨在通过数字化手段解决企业在供应链管理中的各种挑战。SRM 智联云采系统 testService 接口存在SQL注入漏洞。恶意攻击者可以利用该漏洞执行恶意的注入语句，获取敏感数据或篡改数据库。
漏洞危害：
恶意攻击者可以利用该漏洞执行恶意的注入语句，获取敏感数据或篡改数据库。
建议解决方案：
及时更新至最新版本，使用参数化查询或预编译语句并对输入进行过滤和验证，以防止SQL注入攻击。
影响范围：
根据ZoomEye网络空间搜索引擎关键字 app:"SRM 智联云采系统" 对潜在可能目标进行搜索，共得到783条IP历史记录。主要分布在中国、墨西哥等国家。
（ZoomEye搜索链接：
https://www.zoomeye.org/searchResult?q=app%3A%22SRM%20%E6%99%BA%E8%81%94%E4%BA%91%E9%87%87%E7%B3%BB%E7%BB%9F%22）
区域分布：
10、浪潮GS企业管理软件 SmartClient 信息泄露
发布时间：2024-10-17
漏洞等级：高危
漏洞来源：创宇安全智脑
漏洞描述：
浪潮企业管理软件是一款集成了多种功能模块的办公软件。浪潮GS企业管理软件 SmartClient 接口存在信息泄露漏洞。未经授权的远程攻击者可以利用该漏洞，获取 dll 文件反编译出源代码等敏感信息，为后续攻击提供便利。
漏洞危害：
未经授权的远程攻击者可以利用该漏洞，获取 dll 文件反编译出源代码等敏感信息，为后续攻击提供便利。
建议解决方案：
及时更新至最新版本，实施严格的访问控制机制，确保只有授权的用户或角色能够访问和处理敏感数据。
影响范围：
根据ZoomEye网络空间搜索引擎关键字 app:"浪潮GS企业管理软件" 对潜在可能目标进行搜索，共得到103条IP历史记录。主要分布在中国、美国等国家。
（ZoomEye搜索链接：
https://www.zoomeye.org/searchResult?q=app%3A%22%E6%B5%AA%E6%BD%AEGS%E4%BC%81%E4%B8%9A%E7%AE%A1%E7%90%86%E8%BD%AF%E4%BB%B6%22）
区域分布：
ScanV
为网站及业务系统提供全生命周期的外部攻击面管理（EASM）能力，从攻击者视角出发，开展漏洞监测、漏洞响应、漏洞预警等深度漏洞治理工作，实时更新漏洞情报数据，持续性跟踪风险、快速定位威胁。
WebSOC
是面向行业区域监管机构、集团信息中心量身定制的能大范围快速发现高危Web漏洞及安全事件的硬件监测系统，产品具备扫描快、结果准、取证全的核心特质，能帮助客户快速、全面发现其管辖区域内的安全事件，生成完整通报证据链，方便通报到相关单位以促使其快速整改，帮助监管机构有效履行监管职责。
ZoomEye Pro
是面向企事业单位研发的一款网络资产扫描与管理系统。采用对全球测绘10余年的ZoomEye同款主动探测引擎，结合被动探测引擎，以及与ZoomEye云地联动的方式，能够全面采集内外网资产并统一管理。基于SeeBug漏洞平台、创宇安全智脑的能力，能够快速更新高威胁漏洞插件并对全部资产进行漏洞影响面分析。具备资产发现能力快速精准、资产指纹信息丰富、资产分类清晰直观、漏洞响应能力强的特点。帮助客户从攻击者视角持续发现内外网资产以及高风险问题，有效降低安全风险。
为帮助您快速感知威胁，激活防御体系，守护业务安全！
我们建议您订阅创宇安全智脑-威胁情报订阅服务，获取更多威胁情报详情以及处置建议。
点击阅读原文 获取更多信息
推荐站内搜索：最好用的开发软件、免费开源系统、渗透测试工具云盘下载、最新渗透测试资料、最新黑客工具下载……
还没有评论，来说两句吧...