01 漏洞详情

影响组件

金蝶Apusic应用服务器是一款企业级应用服务器，支持Java EE技术，适用于各种商业环境。

漏洞描述

近日，监测到金蝶Apusic应用服务器JNDI注入漏洞(QVD-2023-48297)，金蝶Apusic应用服务器是一款企业级应用服务器，支持Java EE技术，适用于各种商业环境。由于金蝶Apusic应用服务器权限验证不当，导致攻击者可以向loadTree接口执行JNDI注入，造成远程代码执行漏洞。利用该漏洞需低版本JDK。

鉴于该漏洞影响范围较大，建议客户尽快做好自查及防护。

02 影响范围

影响版本

金蝶Apusic应用服务器 <= V9.0 SP7

不受影响版本

金蝶Apusic应用服务器 > V9.0 SP7

其他受影响组件

无

03 复现情况

目前，奇安信CERT已成功复现该漏洞，截图如下：

04 受影响资产情况

资产测绘平台数据显示金蝶Apusic应用服务器 JNDI注入漏洞(QVD-2023-48297)，国内风险资产分布情况如下

05 处置建议

安全更新

官方已发布补丁修复漏洞，建议尽快安装补丁修复漏洞。官方补丁下载地址：http://file.apusic.com/sharing/vVHoyV0jR，下载对应版本补丁后，进行如下步骤：

1、停止应用服务器，备份对应的文件(admin.war或webtool.war、razor.jar、index.jsp)；

2、把razor.jar覆盖<安装目录>\\\\lib\\\\目录下对应的文件；

3、如果<安装目录>\\\\lib\\\\目录下存在webtool.war，则使用webtool.war文件进行覆盖；如果<安装目录>\\\\lib\\\\目录下存在admin.war，把使用admin.war文件进行覆盖(webtool.war与admin.war不同时使用)；

4、通过在<安装目录>\\\\domains\\\\mydomain\\\\vm.options文件，设置参数控制访问管控台的远程客户端(默认只能服务器本机能访问),下面例子是设置172.168.1.2可以访问，根据实际修改，多个地址用逗号分隔:

com.apusic.admin.allowHosts=172.168.1.2

com.apusic.webtool.allowHosts=172.168.1.2

5、把index.jsp覆盖到<安装目录>\\\\domains\\\\mydomain\\\\applications\\\\ default\\\\public_html\\\\目录下；

6、把下载的修复任意文件下载的补丁文件拷贝到<安装目录>\\\\sp目录下；

7、重新启动应用服务器；

8、确认服务器是否可以正常访问；

也可以在https://file.apusic.com/fsdownload/NWWuyE3Q6/product下载并安装V9.0 SP8版本

缓解措施

在确认不影响业务的情况下，进行如下操作缓解漏洞：

暂时暂停应用服务器管理控制台并移除默认首页，删除如下文件webtool.war或admin.war、index.js，文件路径：

普通的管理控制台的安装文件: <安装目录>\\\\lib\\\\webtool.war

安全管理控制台的安全文件: <安装目录>\\\\lib\\\\admin.war

首页：<应用服务器安装目录>\\\\domains\\\\mydomain\\\\applications\\\\ default\\\\public_html\\\\index.jsp

如非必要，不要将 受影响系统 放置在公网上。或通过网络ACL策略限制访问来源，例如只允许来自特定IP地址或地址段的访问请求。

Snort 检测方案

Snort是一个开源的入侵检测系统，使用规则来检测网络流量中的恶意行为。用户可参考以下Snort检测规则，进行金蝶Apusic应用服务器 JNDI注入漏洞(QVD-2023-48297)的检测：

alert tcp any any -> any any (msg:"金蝶Apusic应用服务器JNDI注入漏洞"; flow:to_server,established; content:"POST"; http_method; content:"/admin//protect/jndi/loadTree"; http_uri; rev:1; classtype:web-application-attack; sid:1000005;)