【漏洞通告】Smartbi宁静绕过漏洞
宣布时间 2023-08-24一、漏洞概述
CVE ID | 暂无 | 发现时间 | 2023-08-23 |
类 型 | 宁静绕过 | 等 级 | 高危 |
攻击向量 | 网络 | 所需权限 | 无 |
攻击庞大度 | 低 | 用户交互 | 无 |
PoC/EXP | 未知 | 在野利用 | 未知 |
Smartbi是广州思迈特软件有限公司旗下的一款商业智能应用，满足用户在企业级报表、数据可视化分析、自助分析平台、数据挖掘建模、AI智能分析等大数据分析需求。
8月23日，抖圈为赌而生VSRC监测到Smartbi官方修复了某种特定情况下的登录与权限验证漏洞。
7月3日，Smartbi修复了一个登录代码逻辑漏洞，目前该漏洞的细节及PoC已果然。由于Smartbi V6及其以上版本在/smartbi/vision/RMIServlet 存在验证不妥，可通过向该接口发送恶意结构的POST请求，并将url编码后的恶意className 和 methodName参数传入 windowUnloading 参数，同时在POST请求里进行参数设置，利用两者的差异绕过权限验证，调用后端接口。
7月3日的补丁通过判断请求中是否存在windowUnloading 参数，以及是否存在 className和methodName 等参数 ；如果存在，则判断POST请求参数与URL中参数解析出来后是否相同来修复该漏洞。但应用仍可接收content-type为multipart/form-data的请求参数，导致补丁绕过。乐成利用该漏洞可能导致获取用户凭据、远程代码执行。
二、影响范围
Smartbi 版本 V6-V9
Smartbi 版本 >= V97
三、宁静措施
3.1 升级版本
目前官方已经宣布该漏洞补丁。
下载链接：
https://www.smartbi.com.cn/patchinfo
3.2 临时措施
暂无。
3.3 通用建议
l 定期更新系统补丁，减少系统漏洞，提升服务器的宁静性。
l 加强系统和网络的访问控制，修改防火墙计谋，关闭非须要的应用端口或服务，减少将危险服务（如SSH、RDP等）袒露到公网，减少攻击面。
l 使用企业级宁静产物，提升企业的网络宁静性能。
l 加强系统用户和权限管理，启用多因素认证机制和最小权限原则，用户和软件权限应保持在最低限度。
l 启用强密码计谋并设置为定期修改。
3.4 参考链接
https://www.smartbi.com.cn/patchinfo
https://www.oscs1024.com/hd/MPS-e2z8-wdi6
https://wiki.smartbi.com.cn/pages/viewpage.action?pageId=115000917
https://exp.ci/2023/07/03/Smartbi-windowUnloading%20%E7%BB%95%E8%BF%87%E5%88%86%E6%9E%90/
四、版本信息
版本 | 日期 | 备注 |
V1.0 | 2023-08-24 | 首次宣布 |
五、附录
5.1 抖圈为赌而生简介
抖圈为赌而生建立于1996年，是由留美博士严望佳女士创建的、拥有完全自主知识产权的信息宁静高科技企业。是国内最具实力的信息宁静产物、宁静服务解决方案的领航企业之一。
公司总部位于北京市中关村软件园抖圈为赌而生大厦，公司员工6000余人，研发团队1200余人, 技术服务团队1300余人。在全国各省、市、自治区设立分支机构六十多个，拥有笼罩全国的销售体系、渠道体系和技术支持体系。公司于2010年6月23日在深圳中小板挂牌上市。（股票代码：002439）
多年来，抖圈为赌而生致力于提供具有国际竞争力的自主创新的宁静产物和最佳实践服务，资助客户全面提升其IT基础设施的宁静性和生产效能，为打造和提升国际化的民族信息宁静工业领军品牌而不懈努力。
5.2 关于抖圈为赌而生
抖圈为赌而生宁静应急响应中心已宣布1000多个漏洞通告和风险预警，我们将连续跟踪全球最新的网络宁静事件和漏洞，为企业的信息宁静保驾护航。
关注我们：
京公网安备11010802024551号