金蝶云星空远程代码执行漏洞风险通告

漏洞概述
漏洞名称	金蝶云星空远程代码执行漏洞
漏洞编号	QVD-2023-14179
公开时间	2023-06-15	影响对象数量级	万级
评级	高危	CVSS 3.1分数	9.8
威胁类型	代码执行	利用可能性	高
POC状态	已公开	在野利用状态	未发现
EXP状态	未公开	技术细节状态	未公开
危害描述：未经身份验证的远程攻击者可以修改传输的数据，导致任意代码执行。

01漏洞详情>>>>
影响组件

金蝶云星空聚焦多组织，多利润中心的大中型企业，以 “开放、标准、社交”三大特性为数字经济时代的企业提供开放的 ERP 云平台。

>>>>
漏洞描述

近日监测到金蝶云星空远程代码执行漏洞，该漏洞是由于金蝶云星空管理中心的通信层默认采用的是二进制数据格式，需要进行序列化与反序列化，在此通信过程中未做签名或校验，攻击者可以恶意修改传输的数据，导致执行任意代码执行。鉴于该漏洞的POC已在互联网上公开，现实威胁上升，建议客户尽快做好自查及防护。

02影响范围>>>>
影响版本

金蝶云星空 6.x <= 6.2.1012.4

7.0.352.16 <= 金蝶云星空 7.x <= 7.7.0.202111

8.0.0.202205 <= 金蝶云星空 8.x <= 8.1.0.20221110

>>>>
其他受影响组件

无

03复现情况
已成功复现该漏洞，截图如下：



04处置建议>>>>
安全更新

目前官方已发布安全补丁，受影响用户可以联系官方获取补丁。

https://vip.kingdee.com/knowledge/specialDetail/352491453127123200?category=352491970117034240&id=388994085535220992&productLineId=1

>>>>
缓解方案

对于低于PT123230 [6.2.1012.4]版本的金蝶云星空：

请禁止将金蝶云星空管理中心发布到公网访问，并使用防火墙设置能访问管理中心的IP白名单。如有需要发布到外网，或内网需要访问管理中心，可设置白名单进行控制，详情可参考：

https://vip.kingdee.com/article/248777993676668672?productLineId=1&isKnowledge=2

对于8.x版本可以进行数据通信加固，详情可参考：

https://vip.kingdee.com/article/390545756555520256?productLineId=1&isKnowledge=2

chennimei

会有exp出来了嘛？

xufei2017

exp会放出来吗