|
|
【泛微一级安全通知】关于Ecology产品SQL注入漏洞及未授权访问漏洞的修复通知
|
|
 |
|
泛微产品月度安全更新
|
|
|
|
|
|
| 受影响产品 |
ecology |
| 漏洞名称 |
SQL注入漏洞 |
漏洞组件 |
- |
| 漏洞级别 |
高危 |
影响版本 |
ecology8.0-9.0 && 安全补丁版本<v10.75 |
| 修复方法 |
升级安全补丁包至10.75及以上版本。
|
| 补丁地址 |
EC9.0全量补丁
基于10.56的增量补丁(EC9.0)
基于10.74的增量补丁(EC9.0)
EC8.0全量补丁
基于10.56的增量补丁(EC8.0)
基于10.74的增量补丁(EC8.0)
|
| 检测方法 |
用sysadmin登录，访问http://oa地址/security/checksec20250616.jsp，可查看检测结果。如果是404或检测结果有【未通过】项，则需要手动升级安全补丁。
|
| 备注 |
1、如果当前系统中安全补丁版本是10.74,则可以直接使用《基于10.74的增量补丁》进行升级；如果不能确认当前版本，则可以使用全量补丁。
2、务必关闭以下端口的互联网访问：8099、2098、3098、8090、9300、20981、9090、9081
3、建议使用chrome浏览器无痕模式下载补丁包。
4、10.62及以上补丁包中新增了一项防护规则，针对长时间不使用的接口（40-45天未被访问）进行收集。收集完成后，可以启用拦截模式进行拦截，以减少接口暴露面。具体使用方法，可以升级本补丁包后，用sysadmin登录系统，访问/security/monitor/Monitor.jsp，然后点击【日志拦截详情】->【历史接口防护】，输入sysadmin的密码后进入拦截页面->【开启拦截-点击查看防护描述】，了解该功能后，可决定是否要开启防护。
6、如果系统升级后无法正常启动（系统无法访问），请按照以下链接中的步骤处理：系统无法启动处理方案
7、EM7请务升级到20240822及以上版本，建议升级到最新版本：移动端安全补丁包
|
|
|
|
|
| 受影响产品 |
ecology |
| 漏洞名称 |
未授权访问漏洞 |
漏洞组件 |
- |
| 漏洞级别 |
高危 |
影响版本 |
ecology10.0 && 安全补丁版本<v20250526 |
| 修复方法 |
1、升级安全补丁包至v20250526及以上版本。
2、运维平台升级至V5.0.9.920250613-RC及以上版本
升级手册：E10安全补丁升级操作手册
|
| 补丁地址 |
EC10.0安全补丁
E10运维平台V5.0.9.920250613-RC补丁
|
| 检测方法 |
1、用主团队管理员登录，访问http://oa地址/api/security/securityCheck，可查看检测结果。如果是404或检测结果有【failed】项或者Firewall Version的值小于v20250526，则需要手动升级安全补丁。
2、登录运维平台，检查运维平台版本，确保运维平台版本为V5.0.9.920250526-RC或者V5.0.9.920250613-RC及以上版本。如果不是，则需要升级运维平台至以上版本。
|
| 备注 |
|
|
|
| 受影响产品 |
ecology |
| 漏洞名称 |
未授权登录访问漏洞 |
漏洞组件 |
- |
| 漏洞级别 |
高危 |
影响版本 |
10.0.2501.01<=ecology10<=10.0.2505.01 |
| 修复方法 |
根据不同基线版本申请对应基线的hotfix补丁包：
weaver-passport-1.30.0-hotfix18 对应 10.0.2501.01基线
weaver-passport-1.31.0-hotfix10 对应 10.0.2502.01基线
weaver-passport-1.32.0-hotfix13 对应10.0.2503.01基线
weaver-passport-1.33.0-hotfix6 对应10.0.2504.01基线
weaver-passport-1.34.0-hotfix7 对应 10.0.2505.01基线
|
| 补丁地址 |
暂无，请联系泛微客服或者项目人员申请。
|
| 检测方法 |
登录运维平台，检查weaver-passport服务的版本是否满足上述基线版本。
|
| 备注 |
|
|
