• 漏洞编号：CVE-2023-23743
• 漏洞类型：代码执行
• 漏洞等级：高危
• 发布时间：2023-12-22

漏洞描述

近日，赛克艾威网络安全实验室监测到金蝶Apusic应用服务器存在远程代码执行漏洞情报。攻击者可利用该漏洞获取服务器控制权限。漏洞主要源于其后台文件上传功能的安全缺陷。虽然该功能位于后台，但由于在处理访问路径上存在不足，攻击者得以绕过正常的权限检查而在前台使用后台功能。而且，服务器未能正确验证和过滤上传文件的路径，允许攻击者通过构造特殊的文件名和路径（例如使用"../../../../"进行路径穿越）将恶意脚本上传至服务器的敏感或非预期目录。

测绘指纹

Fofa：
app="Apusic应用服务器"
fid="rqhtFwF4sIF7wTOroKTQGw=="

漏洞危害

这一漏洞的成功利用可能导致多种安全风险。首先，攻击者能够在服务器上的任意位置上传文件，这可能用于植入恶意软件或篡改现有文件。此外，通过上传特定的脚本或执行文件，攻击者可能获得服务器的进一步控制权。最严重的情况下，这可能导致服务器的完全接管，敏感数据泄露，甚至将服务器转化为发起其他攻击的跳板。

影响版本

金蝶Apusic应用服务器 <= V9.0 SP7

修复建议

根据影响版本中的信息，排查并升级到安全版本。 https://www.apusic.com/view-477-113.html