深信服数据中心管理系统 /src/sangforindex XML实体注入漏洞

深信服数据中心管理系统 /src/sangforindex XML实体注入漏洞

1. 利用 XXE 进行 DOS 攻击；
2. 读取本地任意敏感文件；
3. 利用相关协议探测内网主机 IP、端口等信息；
4. 在特定条件下利用 Java 中的 jar:// 协议，php 中的 phar:// 可能导致恶意文件上传；
5. PHP 中如果安装了 expect 扩展，可利用 XXE 执行任意命令。

1.升级至官网最新版本
https://support.sangfor.com.cn/?pageType=2
2.联系产品售后工程师申请获得具体修复补丁