用友NC BeanShell远程代码执行漏洞安全风险通告
发布日期：2021-6-3
漏洞描述
2021年06月03日，监测发现用友官方发布了用友BeanShell远程代码执行漏洞的风险通告，漏洞编号为CNVD-2021-30167。
用友NC是面向集团企业的管理软件，其在同类市场占有率中达到亚太第一。成功利用该漏洞的攻击者可以直接在目标机器上执行任意代码，并以用友NC软件的用户权限执行任意命令。
该漏洞利用复杂度低，攻击者无需用户交互及相关权限便可直接执行任意代码，危害度很高。
对此，建议广大用户及时将用友NC升级到最新版本。与此同时，请做好资产自查以及预防工作，以免遭受黑客攻击。
漏洞编号
CNVD-2021-30167
漏洞危害
该漏洞是由于用友NC对外开放了BeanShell接口，攻击者可以在未授权的情况下直接访问该接口，并构造恶意数据执行任意代码并获取服务器权限。
漏洞等级
高危
受影响版本
用友:NC: 6.5
修复方案
- 该漏洞为第三方jar包漏洞导致，通过服务渠道推送了解决方案，授权用户可以访问下载链接进行下载。下载链接：http://umc.yonyou.com/ump/querypatchdetailedmng?PK=18981c7af483007db179a236016f594d37c01f22aa5f5d19
参考链接
1、https://www.cnvd.org.cn/flaw/show/CNVD-2021-30167