金蝶EAS /myUploadFile.do 路径存在任意文件上传漏洞

预览

金蝶 EAS 及 EAS Cloud 是金蝶软件公司推出的一套企业级应用软件套件，旨在帮助企业实现全面的管理和业务流程优化。金蝶 EAS 及 EAS Cloud 存在远程代码执行漏洞。

预览

1、执行任意代码：攻击者可以通过上传包含恶意代码的文件，执行任意代码并控制受害者的计算机或服务器，导致数据泄露、破坏或其他恶意行为。
2、篡改或删除数据：攻击者可以上传包含恶意代码的文件，并篡改或删除服务器上的重要文件或数据。
3、钓鱼攻击：攻击者可上传 html、shtm 等文件，并写入非法博彩、赌博等恶意 SEO 页面或者写入恶意 js 文件进行钓鱼来非法获取用户信息等。

预览

1、补丁修复方案：

官方已发布安全修复补丁，建议受影响的用户尽快安装官方安全补丁，安全公告地址（包含影响产品及补丁号）：
https://vip.kingdee.com/knowledge/specialDetail/164676138713728512?category=268743209985840384&id=460728139602294272&productLineId=8

2、临时修复方案：
（1）使用防护类设备对相关资产进行防护；
（2）通过 ACL 网络策略限制访问来源。