严重
帆软报表 /channel 存在反序列化绕过漏洞
披露时间：
2023-07-01
更新时间：
2025-02-10
CT 编号
CT-828112
CVE 编号
N/A
CNVD 编号
N/A
CNNVD 编号
N/A
原理分类
反序列化漏洞
漏洞评分
9.8
漏洞描述
帆软报表和帆软BI channel 接口存在反序列化漏洞，2023-07-21之前的 FineReport10.0/11.0、FineBI5.1 系列均受影响
漏洞危害
1、如果被攻击者利用，可直接getshell；
2、如果被攻击者利用，可被用于内网信息收集，扫描目标内网主机；
3、如果被攻击者利用，可攻击运行在内网或本地的应用程序；
4、如果被攻击者利用，可被用作攻击跳板；
修复方法
1）请升级至2023-07-21及之后版本，可直接从帆软官网获取/联系技术支持获取：https://www.finereport.com/product/download
2）如无法升级工程，请参考文档进行配置：限制IP访问工程
https://help.fanruan.com/finereport/doc-view-5287.html
评分维度
长亭安全产品覆盖情况
雷池（SafeLine）下一代Web应用防火墙
洞鉴（X-Ray）安全评估系统
云图（Cloud Atlas）攻击面管理运营平台
牧云（CloudWalker） 主机安全管理平台
全悉（T-ANSWER）高级威胁分析预警系统
谛听（D-Sensor） 伪装欺骗系统
漏洞时间线
漏洞披露
2023-07-01
漏洞信息更新
2025-02-10
