泛微e-cology远程代码执行漏洞CNVD-2019-32204

0x00 简介

泛微协同管理应用平台(e-cology)是一套兼具企业信息门户、知识管理、数据中心、工作流管理、人力资源管理、客户与合作伙伴管理、项目管理、财务管理、资产管理功能的协同商务平台,e-cology是一个数字化的企业应用环境,真正让公司所有的信息都在一个平台上管理,解决信息孤岛问题。
e-cology平台以移动互联下的组织社交化转型需求为导向,采用轻前端重后端的设计思路,在前端面向用户提供个性化的办公平台,后端引擎帮助企业高效整合既有的it资源生成符合用户需求的it应用,并能够与e-mobile、移动集成平台等双剑合璧,帮助企业通过APP、微信、钉钉等多种路径实现移动协同办公。e-cology8.0于2014年全新发布,致力于为大中型企业组织提供移动化、社交化、平台化、云端化的大OA服务。2018年9月27日,发布新一代产品e-cology9.0,包含“智能化、平台化、全程电子化”三大特色。

泛微e-cology OA系统存在远程代码执行漏洞。该漏洞存在于泛微协同管理应用平台OA系统的BeanShell组件中,该组件为系统自带且允许未授权访问。攻击者通过调用BeanShell组件的问题接口可直接在目标服务器上执行任意命令。

0x01 环境搭建

漏洞影响版本e-cology <=9.0

0x02 漏洞复现

漏洞所在位置:http://***rvlet

泛微e-cology远程代码执行漏洞CNVD-2019-32204-老子有钱娱乐官网

泛微e-cology远程代码执行漏洞CNVD-2019-32204-老子有钱娱乐官网

执行exec命令

使用burp复现

泛微e-cology远程代码执行漏洞CNVD-2019-32204-老子有钱娱乐官网

泛微e-cology远程代码执行漏洞CNVD-2019-32204-老子有钱娱乐官网


长按识别关注老子有钱娱乐城微信公众号