帆软FineReport多个缝隙安全公告

颁布功夫 2019-06-19

缝隙编号和级别


CVE编号：暂无，，，， ，，，，危险级别：中危，，，， ，，，，CVSS分值：官方未评定


影响版本


受影响的版本

FineReport V9.0、V8.0（V10.0不受影响）


缝隙概述


FineReport报表软件是一款纯Java编写的、集数据展示(报表)和数据录入(表单)职能于一身的企业级web报表工具，，，， ，，，，它“专业、简捷、矫捷”的特点和无码理想，，，， ，，，，仅需单一的拖拽操作便能够设计复杂的中国式报表，，，， ，，，，搭建数据决策分析系统。。。。。。。


帆软FineReport被发现存在多个缝隙。。。。。。。 其中，，，， ，，，，系统某处在未授权情况下可直接下载系统敏感配置文件，，，， ，，，，配置文件蕴含后盾账号等（后盾账号必要进一步解密），，，， ，，，，另表后盾某处对用户输入限度不严格导致可Getshell，，，， ，，，，获得指标服务器的权限。。。。。。。
帆软露出在公网的ip 325个，，，， ，，，，具体统计如下：
 
 8827太阳集团(Macau)股份有限公司-Official website


8827太阳集团(Macau)股份有限公司-Official website


缝隙验证


暂无POC/EXP。。。。。。。


建复建议


1、 一时缓解措施 
批改超等治理怨厮号密码登录后盾治理系统，，，， ，，，，地址：ip:端标语/WebReport/ReportSer

ver?op=fs批改并加强口令复杂度 ；；；；；；；配置URL接见节造战术部署于公网的 FineReport 服务器，，，， ，，，，可通过ACL不容表网对/WebReport/ReportServer蹊径的接见。。。。。。。


2、 官方补丁 
官方已经为该缝隙提供定造版jar包，，，， ，，，，请尽快联系帆软官方，，，， ，，，，索要官方补丁法式。。。。。。。厂商

官网： http://www.fanruan.com/support。。。。。。。


参考链接