关于用友A++V8系列产品aebf模块逻辑缺陷及未授权访问漏洞的安全公告

漏洞概述

一、 漏洞描述

用友政务公司获知财务云V8系统aebf模块接口存在逻辑缺陷及未授权访问漏洞，通过构造Cookie信息及相关请求数据可绕过身份认证，获取平台数据，造成信息泄露。团队第一时间组织人员进行响应,对此次系统存在的漏洞进行整改及修复，通过对接口的授权信息进行校验及对cookie完整性进行校验等，对所有接口请求进行拦截，校验cookie信息是否完整、合法，从而判定请求是否有效，阻止随意篡改和伪造身份认证信息获取平台数据。需更新最新的安全漏洞补丁解决上述漏洞。

二、影响版本

用友政务财务云V8产品官方在售及提供服务器的版本，受本次通报漏洞的影响。为了尽快落实用户现场和产品升级，修复漏洞，避免造成损失，本次提供修复补丁，请广大服务厂商，尽快参照执行。

三、修复方案

更新公告对应的安全漏洞补丁即可，打补丁方法同更新CWY补丁方法一致。

更新记录