10秒后自動(dòng)關(guān)閉
用友U8CRM存在最新SQL注入漏洞（CNVD-2024-47765）

U8 CRM是用友公司推出的一款客戶關(guān)系管理（CRM）軟件，旨在幫助企業(yè)提升客戶服務(wù)和銷售管理效率。該軟件功能強(qiáng)大、使用方便，受到很多企業(yè)客戶的青睞。

國(guó)家信息安全漏洞共享平臺(tái)于2024-12-20公布該軟件存在SQL注入漏洞。這并不是說開發(fā)團(tuán)隊(duì)實(shí)力不行，而是只要稍微復(fù)雜點(diǎn)的系統(tǒng)，漏洞就不可避免，就連微軟這樣的巨無霸公司，漏洞也從來沒有停止過。


漏洞編號(hào)：CNVD-2024-47765

漏洞級(jí)別：高

公布時(shí)間：2024-12-20

漏洞描述：國(guó)家信息安全漏洞共享平臺(tái)并未給出漏洞詳細(xì)位置，只籠統(tǒng)的說U8CRM存在SQL注入漏洞。黑客可利用該漏洞傳遞非法SQL命令，執(zhí)行篡改數(shù)據(jù)、拖庫或獲取數(shù)據(jù)庫敏感信息等危險(xiǎn)操作。


解決辦法：

用友官方已經(jīng)發(fā)布補(bǔ)丁，詳情：https://www.cnvd.org.cn/patchInfo/show/639521

你也可以使用《護(hù)衛(wèi)神·防入侵系統(tǒng)》的“SQL注入防護(hù)”模塊來解決此威脅，同時(shí)該防護(hù)系統(tǒng)還能對(duì)U8CRM所有的SQL注入漏洞進(jìn)行防護(hù)。


1、SQL注入攻擊防護(hù)

《護(hù)衛(wèi)神·防入侵系統(tǒng)》的SQL注入防護(hù)模塊（如圖一），攔截效果如圖二。


SQL注入防護(hù)模塊

（圖一：SQL注入防護(hù)模塊）



SQL注入攔截

（圖二：SQL注入攔截效果）





2、訪問區(qū)域保護(hù)

如果訪問U8CRM的人員固定在某些區(qū)域（例如國(guó)內(nèi)、省市等），還可以使用《護(hù)衛(wèi)神·防入侵系統(tǒng)》的“防火墻”模塊，限制只允許指定區(qū)域才能訪問該軟件，大幅提升系統(tǒng)安全能力。因?yàn)楹诳鸵话闶褂脟?guó)外IP發(fā)動(dòng)攻擊，防止被溯源。

如下圖三所示，設(shè)置8088端口（配置時(shí)改為實(shí)際使用的端口），只對(duì)“四川、上海、廣州”三地開放，其他地方無法連接上8088端口，更無從入侵了。

限制8088端口授權(quán)訪問區(qū)域

（圖三：限制8088端口授權(quán)訪問區(qū)域）