关于用友GRP-U8内控管理软件WSDL接口(或services/xx)存在信息泄露漏洞的安全通告

发布时间

2025-02-17

一、漏洞描述

用友政务公司获知用友GRP-U8内控管理软件WSDL接口信息泄露漏洞后，第一时间组织团队进行应急响应，分析处理漏洞问题并发布相关解决补丁，并对相关支持人员进行培训。本次漏洞表现1主要是在服务地址拼接/services/xxx路径后，所有wsdl接口均能未授权访问，存在一定的安全隐患;表现2是StudentWebService存在SSRF漏洞。

二、影响版本

用友GRP-U8R10产品官方在售及提供服务的版本为U8Manager，产品分B、C、G三个产品系列，以上受到本次通报漏洞的影响。

三、解决方案

1. 增加Token校验，无token、token验证失败均组阻止请求，增加Token过期时间，Token实时生成，历史Token定时过时间。已发布相关补丁，请及时更新修复补丁。

2.对StudentWebService存在SSRF漏洞对相关功能进行停用

注意：更新此补丁前务必先更新U8Manager产品补丁(大于等于2023年6月份），单更新此补丁无法完成修复。

补丁包列表

操作说明

详见补丁包中说明文档