帆软FineReport多个缝隙安全公告

颁布功夫 2019-06-19

缝隙编号和级别


CVE编号：暂无，危险级别：中危，CVSS分值：官方未评定


影响版本


受影响的版本

FineReport V9.0、V8.0（V10.0不受影响）


缝隙概述


FineReport报表软件是一款纯Java编写的、集数据展示(报表)和数据录入(表单)职能于一身的企业级web报表工具，它“专业、简捷、矫捷”的特点和无码理想，仅需单一的拖拽操作便能够设计复杂的中国式报表，搭建数据决策分析系统 。


帆软FineReport被发现存在多个缝隙 。 其中，系统某处在未授权情况下可直接下载系统敏感配置文件，配置文件蕴含后盾账号等（后盾账号必要进一步解密），另表后盾某处对用户输入限度不严格导致可Getshell，获得指标服务器的权限 。
帆软露出在公网的ip 325个，具体统计如下：
 
 GA黄金甲·(中国区)官方网站


GA黄金甲·(中国区)官方网站


缝隙验证


暂无POC/EXP 。


建复建议


1、 一时缓解措施 
批改超等治理怨厮号密码登录后盾治理系统，地址：ip:端标语/WebReport/ReportSer

ver?op=fs批改并加强口令复杂度；配置URL接见节造战术部署于公网的 FineReport 服务器，可通过ACL不容表网对/WebReport/ReportServer蹊径的接见 。


2、 官方补丁 
官方已经为该缝隙提供定造版jar包，请尽快联系帆软官方，索要官方补丁法式 。厂商

官网： http://www.fanruan.com/support 。


参考链接