【漏洞预警】Smartbi远程命令执行漏洞-1day
声明：此文所提供的信息只为网络安全人员对自己所负责的网站、服务器等（包括但不限于）进行检测或维护参考，未经授权请勿利用文章中的技术资料对任何计算机系统进行入侵操作。利用此文所提供的信息而造成的直接或间接后果和损失，均由使用者本人负责。本文所提供的工具仅用于学习，禁止用于其他！！！
现在只对常读和星标的公众号才展示大图推送，建议大家把猫蛋儿安全“设为星标”，否则可能看不到了！
产品简介
Smartbi是一款商业智能应用，提供了数据集成、分析、可视化等功能，帮助用户理解和使用他们的数据进行决策。近期公布了Smartbi的一个远程代码执行漏洞。该漏洞类型为逻辑漏洞，可实现RCE。
漏洞简介
Smartbi可在未经过身份认证的情况下，调用后台接口，执行攻击者构造的代码，从而导致服务器失陷。
影响版本
V7 <= Smartbi <= V10.5.8
漏洞验证
漏洞路径如下：
/smartbi/vision/RMIServlet漏洞已收录内部团队漏洞库中，由于安全原因暂不公开POC以及内存马打法。
修复建议
一、防护措施
目前官方已发布 V10.5.8 的补丁包修复此漏洞，建议受影响的用户及时安装防护。
详细信息地址：https://www.smartbi.com.cn/patchinfo
二、临时解决方案：
受影响的用户可以通过配置 WAF 规则，对含有以下关键字的数据包进行过滤：
clientRerouteServerListJNDIName
漏洞收录
漏洞已收录于团队内部漏洞库（建设于2019年），现已收集4000+实战漏洞
现仅供团队内部使用，每月随机抽取关注者加入社群交流学习。
点击下方名片进入公众号，欢迎关注！
点个小赞你最好看