漏洞导览
· 品茗招标信用评价系统存在多个文件上传漏洞
· 用友U8存在SQL注入漏洞
· 科荣AIO管理系统存在多个SQL注入漏洞
· 宏景HCM人力资源信息管理系统存在SQL注入漏洞
· Eking-管理易存在任意文件下载漏洞
漏洞概况
在当前网络攻防演练中，安恒信息CERT正紧密关注近期曝光的安全漏洞，持续进行监测和深入梳理。我们将对监测到的每一个漏洞进行深入分析和评估，为蓝队（防守方）输出漏洞清单。这份清单旨在帮助蓝队在攻防演练期间进行自检，并采取必要的措施来强化防护。
1、品茗招标信用评价系统存在多个文件上传漏洞
**安恒CERT漏洞编号：
**
WM-202408-000018
WM-202408-000019
漏洞详情：
品茗招标信用评价系统saveMyOffice、saveMyPdf_DJ存在文件上传漏洞，攻击者可以上传包含恶意脚本或可执行文件的文件，这些文件可能会被服务器执行，导致服务器被攻击者控制
产品支持情况：
AiLPHA大数据平台、APT攻击预警平台、明鉴漏洞扫描系统、WAF、玄武盾已支持
2、用友U8存在SQL注入漏洞
**安恒CERT漏洞编号：
**
WM-202408-000022
漏洞详情：
攻击者可以利用堆叠溢出漏洞来覆盖函数返回地址，使程序执行恶意注入的代码，从而控制程序的执行流程，执行任意指令。
产品支持情况：
AiLPHA大数据平台、APT攻击预警平台、明鉴漏洞扫描系统、WAF、玄武盾已支持
3、科荣AIO管理系统存在多个SQL注入漏洞
**安恒CERT漏洞编号：
**
WM-202408-000021
WM-202408-000023
WM-202408-000024
WM-202408-000025
WM-202408-000026
WM-202408-000027
漏洞详情：
攻击者通过构造带有不同延时指令的请求，并根据响应时间的变化推断出数据库的状态，逐步构建出数据库的结构和内容，导致敏感数据泄露。
产品支持情况：
AiLPHA大数据平台、APT攻击预警平台、明鉴漏洞扫描系统、WAF、玄武盾已支持
4、宏景HCM人力资源信息管理系统存在SQL注入漏洞
安恒CERT漏洞编号：
WM-202408-000028
漏洞详情：
攻击者可以利用该漏洞远程执行任意代码，进而控制目标系统，执行恶意操作。
产品支持情况：
AiLPHA大数据平台、APT攻击预警平台、明鉴漏洞扫描系统、WAF、玄武盾已支持
5、Eking-管理易存在任意文件下载漏洞
安恒CERT漏洞编号：
WM-202408-000029
漏洞详情：
攻击者可以利用这一漏洞下载敏感信息数据泄露可能导致进一步的安全问题。
产品支持情况：
AiLPHA大数据平台、APT攻击预警平台、明鉴漏洞扫描系统、WAF、玄武盾已支持
恒脑x漏洞分析
事件回溯
攻防演练正火热进行中，攻击者们展示了高超的技术，这时，一个新的挑战出现了。正在值守的刘师傅收到一份告警：攻击者利用未知的漏洞，企图绕过已有的防御线。
恒脑x态感平台及时检测到异常流量并准确识别了攻击行为，并发出告警。让我们一起来看看这份异常流量的详情。
这些流量的细节如下：
请求报文
GET /xx/pwn.jsp HTTP/1.1
Host:
Accept-Encoding: gzip, deflate
Accept: */*
Accept-Language: en-US;q=0.9,en;q=0.8
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/102.0.5005.63 Safari/537.36
Connection: close
Cache-Control: max-age=0
HTTP/1.1 200
Set-Cookie: JSESSIONID=; Path=/xx; HttpOnly
Content-Type: text/html
Content-Length: 0
Date: Tue, 23 Jul 2024 07:54:16 GMT
Connection: close
可以观察到，该请求包指向了可疑的URL，并且使用了非标准且不常见的文件名，经过恒脑告警研判智能体的深度分析，可以得出访问路径中的该文件很可能是恶意payload的载体。
安全团队迅速调整策略，恒脑告警研判智能体发挥着关键作用，它不仅能够分析大量的数据还能够在“确诊”后对症下药。在恒脑告警研判智能体的帮助下，安全团队迅速定位并修复了漏洞，对系统进行了有效的防护与加固。
在实际的攻防场景中，恒脑通过持续采集前端流量，并结合24小时不间断的自动分析和实时矫偏技术，能够及时发现并响应漏洞威胁，从而确保网络安全高效运转。无论是面对传统漏洞还是全新的未知威胁，恒脑展现出了卓越的应变能力和防御效果。
关于我们
安恒信息应急响应中心（CERT）是专注于对全网重要网络安全漏洞、安全事件等威胁情报进行实时主动发现、快速预警、联动响应的安全应急协调中心。
中心成员由丰富攻防经验的资深安全技术专家组成，联动安恒威胁情报中心，共同针对最新威胁情报主动发现，重大安全漏洞和安全事件进行深度挖掘、分析、溯源，并结合自主研发的网络空间测绘系统-「全球网络空间超级雷达」梳理全网受影响程度。
第一时间通过多渠道对客户进行安全预警通知，并向国家有关部门通报，同时在有关部门的指导下，对影响面极广的漏洞对外发布安全预警和应急措施建议，为安全中国，营造健康、安全的数字化经济环境助力。
如有漏洞相关需求支持请联系400-6059-110获取相关能力支撑。
往/期/回/顾
