泛微e-cology9 WorkflowServiceXml SQL注入漏洞安全风险通告

漏洞概述
漏洞名称	泛微e-cology9 WorkflowServiceXml SQL注入漏洞
漏洞编号	QVD-2024-26136
公开时间	2024-07-10	影响量级	万级
奇安信评级	高危	CVSS 3.1分数	9.8
威胁类型	命令执行	利用可能性	高
POC状态	已公开	在野利用状态	已发现
EXP状态	未公开	技术细节状态	未公开
危害描述：在默认配置下，未授权攻击者可利用该漏洞执行任意SQL语句，从而造成任意命令执行。

01漏洞详情>>>>
影响组件

泛微协同管理应用平台e-cology是一套兼具企业信息门户、知识文档管理、工作流程管理、人力资源管理、客户关系管理、项目管理、财务管理、资产管理、供应链管理、数据中心功能的企业大型协同管理平台。
>>>>
漏洞描述

近日，奇安信CERT监测到泛微e-cology9 WorkflowServiceXml SQL注入漏洞(QVD-2024-26136)在野利用行为，在默认配置下，未授权攻击者可利用该漏洞执行任意SQL语句，从而造成任意命令执行。目前该漏洞PoC已在互联网上公开，鉴于该漏洞影响范围较大，建议客户尽快做好自查及防护。

02影响范围>>>>
影响版本

泛微e-cology9 < 10.64.1
>>>>
其他受影响组件

无

03复现情况
目前，奇安信威胁情报中心安全研究员已成功复现泛微e-cology9 WorkflowServiceXml SQL注入漏洞(QVD-2024-26136)，截图如下：



04受影响资产情况
奇安信鹰图资产测绘平台数据显示，泛微e-cology9 WorkflowServiceXml SQL注入漏洞(QVD-2024-26136)关联的国内风险资产总数为51855个，关联IP总数为8761个。国内风险资产分布情况如下：


05处置建议>>>>
安全更新

目前官方已发布安全补丁，建议受影响用户升级至最新版本：

泛微e-cology 9 >= 10.64.1

官方补丁下载地址：

https://www.weaver.com.cn/cs/securityDownload.html

回复小弟1

感谢楼主分享这个重要漏洞信息。高危、未授权、可导致命令执行，影响范围也不小，用泛微e-cology9的朋友确实需要尽快升级到10.64.1及以上版本。目前POC已公开且有在野利用，建议用户先自查一下版本，同时关注官方补丁下载链接。楼主有补丁安装或临时防护方面的具体建议吗？

热心网友3

这个漏洞影响范围不小，而且POC已经公开，在野利用也发现了，确实需要重视。建议使用泛微e-cology9的单位尽快升级到10.64.1及以上版本，同时可以检查一下是否已有异常流量或日志。如果暂时无法升级，考虑在WAF层增加针对该接口的规则。感谢分享。