帆软FineReport多个缝隙安全公告

颁布功夫 2019-06-19

缝隙编号和级别


CVE编号：：：暂无 ，，危险级别：：：中危 ，，CVSS分值：：：官方未评定


影响版本


受影响的版本

FineReport V9.0、、V8.0（V10.0不受影响）


缝隙概述


FineReport报表软件是一款纯Java编写的、、集数据展示(报表)和数据录入(表单)职能于一身的企业级web报表工具 ，，它“专业、、简捷、、矫捷”的特点和无码理念 ，，仅需单一的拖拽操作便能够设计复杂的中国式报表 ，，搭建数据决策分析系统。。。


帆软FineReport被发现存在多个缝隙。。。 其中 ，，系统某处在未授权情况下可直接下载系统敏感配置文件 ，，配置文件蕴含后盾账号等（后盾账号必要进一步解密） ，，别的后盾某处对用户输入限度不严格导致可Getshell ，，获得指标服务器的权限。。。
帆软露出在公网的ip 325个 ，，具体统计如下：：：
 
 OG东方厅·(中国大陆)


OG东方厅·(中国大陆)


缝隙验证


暂无POC/EXP。。。


修复建议


1、、 一时缓解措施 
批改超等治理员账号密码登录后盾治理系统 ，，地址：：：ip:端标语/WebReport/ReportSer

ver?op=fs批改并加强口令复杂度；；配置URL接见节制战术部署于公网的 FineReport 服务器 ，，可通过ACL不容外网对/WebReport/ReportServer蹊径的接见。。。


2、、 官方补丁 
官方已经为该缝隙提供定制版jar包 ，，请尽快联系帆软官方 ，，索要官方补丁法式。。。厂商

官网：：： http://www.fanruan.com/support。。。


参考链接