严重
金山终端安全系统V9.0 SQL注入漏洞
披露时间：
2023-10-16
更新时间：
2024-08-26
CT 编号
CT-926438
CVE 编号
N/A
CNVD 编号
N/A
CNNVD 编号
N/A
原理分类
SQL注入
漏洞评分
9.8
漏洞描述
金山终端安全系统V9.0是专门为政府、军工、能源、教育、医疗及集团化企业设计的终端安全管理平台。攻击者可利用该漏洞在服务端写入恶意文件，执行命令。并且该系统为集权系统，当攻击者控制该系统后，在终端管理功能中可对任意一台终端执行任意命令，可导致被管理的终端设备失陷。
漏洞危害
1、如果被攻击者利用，可直接getshell；
2、如果被攻击者利用，可被用于内网信息收集，扫描目标内网主机；
3、如果被攻击者利用，可攻击运行在内网或本地的应用程序；
4、如果被攻击者利用，可被用作攻击跳板；
修复方法
一、升级修复方案：
官方已在最新版修复此问题，建议受影响的用户在服务器管理平台升级到V9.SP1.E1008或以上版本，官网地址：
https://www.ejinshan.net/lywz/zdv9
二、临时缓解措施
1、在不影响业务的情况下配置URL访问控制策略
2、如非必要，避免将资产直接暴露在互联网
评分维度
长亭安全产品覆盖情况
雷池（SafeLine）下一代Web应用防火墙
洞鉴（X-Ray）安全评估系统
云图（Cloud Atlas）攻击面管理运营平台
牧云（CloudWalker） 主机安全管理平台
全悉（T-ANSWER）高级威胁分析预警系统
谛听（D-Sensor） 伪装欺骗系统
漏洞时间线
漏洞披露
2023-10-16
漏洞信息更新
2024-08-26
