关于用友A++V831-V833系列产品越权访问及未授权访问安全漏洞的公告

漏洞概述

一、 漏洞描述

用友政务公司获知财务云V8系统存在越权访问及未授权访问的安全漏洞,可能导致部分系统功能被越权或未授权访问造成信息泄露。团队第一时间组织人员进行响应,对此次系统存在的漏洞进行整改及修复。需更新最新的安全漏洞补丁或更新产品最新功能补丁均可解决上述漏洞。

二、影响版本

用友政务财务云V8.31-V8.33产品官方在售及提供服务器的版本，受本次通报漏洞的影响。为了尽快落实用户现场和产品升级，修复漏洞，避免造成损失，本次提供修复补丁，请广大服务厂商，尽快参照执行。

三、修复方案

一、解决方案：打对应补丁。重启服务。

二、打补丁说明：

1、财务监管未授权访问漏洞补丁更新方法：

1）、将cwy-gateway-patch-20240812.zip放置与/opt/cwy8.3X/product/module/A/ 目录下并解压（不同系统及版本安装路径略有差异）

2）、执行cwy-gateway目录下的startup.sh脚本启动（windows环境为startup.bat）

3）、更改nginx的配置文件ufgov_cwy.conf的server大括号中的第一个location前增加如下内容，并重启

    location /pf/gla/visualization/dataSourceMangement.html {

        proxy_pass http://127.0.0.1:9909;

    }

    location /pf/ga/static/_book/index.html {

        proxy_pass http://127.0.0.1:9909;

    }。

4、门户及工作量流补丁更新方式，同正常更新补丁方式一致。

5、业务模块更新补丁后，需要手工执行loder.sh （建议手工执行一次。存在部分环境可自动执行，为确保生效，需执行）

三、请所有渠道总经理、技术支持部，联动向下传达到客户和沟通群。获取补丁地址：请到安全中心下载补丁。

四、关于未授权漏洞补丁，有合集补丁包，请见补丁附件中说明文档。

更新记录