畅捷通 T+远程代码执行漏洞预警

近日，国家信息安全漏洞共享平台（CNVD）收录了畅捷通T+远程代码执行漏洞，在特定配置环境下，远程未经身份认证的攻击者可通过特定的参数在接口上传恶意文件从而执行任意命令。目前，此漏洞已被攻击者利用来进行勒索软件攻击，官方已发布针对此漏洞的补丁程序，鉴于此漏洞影响范围较大，建议客户尽快做好自查及防护。

一、基本情况

畅捷通信息技术股份有限公司（以下简称畅捷通公司）是用友集团成员企业。畅捷通T+软件是畅捷通公司开发的ERP管理软件，采用B/S结构及NET开发技术，面向中小型工贸和商贸企业提供财务管理、采购管理、库存管理等业务功能，其产品目前有单机、公有云和云主机三种售卖形态。

2022年8月29日和8月30日，畅捷通公司紧急发布安全补丁修复了畅捷通T+软件任意文件上传漏洞。未经身份认证的攻击者利用该漏洞，通过绕过系统鉴权，在特定配置环境下实现任意文件的上传，从而执行任意代码，获得服务器控制权限。目前，已有用户被不法分子利用该漏洞进行勒索病毒攻击的情况出现。

CNVD对该漏洞的综合评级为“高危”。

二、影响分析

影响版本：

畅捷通T+单机版<=17.0且使用IIS10.0以下版本

三、处置建议

目前，官方已发布针对此漏洞的补丁程序，用户可参考以下链接及时更新官方补丁：

https://www.chanjetvip.com/product/goods/goods-detail?id=53aaa40295d458e44f5d3ce5

四、参考链接

https://mp.weixin.qq.com/s/4E4E1O7Y8VR17PL9jd59Yg

https://www.chanjetvip.com/a/1053502

https://www.chanjetvip.com/product/goods/goods-detail?id=53aaa40295d458e44f5d3ce5