关于U9 cloudERP软件接口print/DynamaticExport.aspx存在任意文件下载漏洞的安全通告

漏洞概述

一、 漏洞描述

U9团队在获知print/DynamaticExport.aspx接口存在任意文件下载漏洞后第一时间组织团队进行应急响应，分析接口带来的漏洞问题，并针对该漏洞规避可能引起的其他漏洞如命令执行、信息泄露和数据库提权等；现已修复以上漏洞。

二、影响版本

U9V6.6企业版、U9V66标准版、U9C企业版、U9C标准版

三、修复方案

修复方案：

1、新增加密算法处理数据

2、限制文件访问路径

客户须知：在升级515补丁之后进行漏洞补丁的升级。

补丁信息：

CE：

U9CE.UBF.2002506060000110.pack（文件校验码：9c1e45aa4ed1ec592038ee302b20cf8e83108cadf69c4d993d0ced7259076e19）

U9CE.BC.2002506090000005.pack（文件校验码：83a2566c7eb494a4a73557d17b680fbf726a82b73cd6a916f7a2a2a4fe5e239e）

CS：

U9CS.UBF.2002506060000110.pack（文件校验码：036c9859eb672629e3d31f230a4f253e4be3a677e0c3b44460f39181f986ad08）

U9CS.BC.2002506090000005.pack（文件校验码：8e493223898f090cb0fb27b85c841cfc025962dd13cdd0cb484c3d13c48b1a15）

66E：

U9V66E.UBF.1002506110000001.pack（文件校验码：57c4adf7bd9a1462691a6a98353d4e0241fe7dc6c326a8ba91672362ac1cfa5b）

66S：

U9V66S.UBF.1002506110000001.pack（文件校验码：2a832d9a7217288e7dc88ce3c08778807c52575c0169b43fa62acb984b35fd9c）

更新记录