反馈已提交

网络繁忙

安全漏洞声明

  • 文档创建者:Carly
  • 编辑次数:26次
  • 最近更新:Leo.Tsai 于 2022-09-21
  • 1. 概述

    帆软 FineReport 8.* &9.* 系列及更早版本目前已经停止维护,安全系数低,请联系帆软大版本升级。

    为了进一步提升安全性,您也可以按照 产品安全加固手册 对工程进行安全加固。

    Tomcat 等容器类漏洞(如:CVE-2020-9484、CNVD-2020-10487、CVE-2020-1938等)请自行升级容器,或使用帆软提供的 部署包 部署。

    2. 漏洞声明

    漏洞描述
    影响版本临时解决方案声明文件

    反序列化漏洞

    关键词:远程设计功能、channel接口、0v8s9ouoyo.jar

    2022-08-12之前的 FineReport10.0/11.0、FineBI5.1 系列均受影响

    通过代理服务器或防火墙,限制下面接口的访问:

    webroot/decision/remote/design/channel(限制后只允许受信任的 IP 进行报表远程设计,查看不受影响)

    /

    远程代码执行漏洞

    描修改配置库,利用驱动管理执行恶意代码

    仅 FineReport 11.0、FineBI 5.1.19 及以上版本支持该功能

    该操作需要具备超级管理员权限,请增加管理员账号密码复杂度

    将驱动管理配置恢复为默认关闭状态,修改管理员账号密码/

    任意代码执行漏洞(或网传的“前端任意代码执行”)

    关键词:J2V8引擎

    2022-08-12之前的版本均受影响解决方案见:触发V8远程代码执行漏洞

    关于帆软《触发V8远程代码执行漏洞》声明.pdf

    反序列化漏洞/命令注入漏洞

    存在恶意插件「Timo测试插件」

    plugin-com.fr.plugin.function.timo

    该操作需要已被上传恶意插件,请检查插件列表中是否有不明插件检查插件列表/

    反序列化漏洞

    Fastjson反序列化漏洞CNVD-2022-40233

    产品本身不受影响,但以下插件

    「微信管理」

    「钉钉管理」

    「飞书管理」

    「WeLink管理」

    「网页内容解析库」

     2022-06-13 之前版本受影响

    升级插件

    帆软关于《Fastjson反序列化漏洞》声明.pdf


    文件写入getshell漏洞

    关键词:SQLite

    2022-07-04 之前的版本均受影响,此操作需要管理员权限

    删除路径%FineBI5.1%\webapps\webroot\WEB-INF\lib 下的 sqlite 开头文件(删除后 SQLite 数据库相关的数据连接,包括 FRDemo 无法使用)

    /

    鉴权漏洞

    2022-06-29移动端紧急重要公告

    以下插件存在高危漏洞:

    「HTML5移动端展现」

    「微信管理」

    「钉钉管理」

    「飞书管理」

    「Welink管理」

    「云之家」

    升级插件

    帆软软件紧急安全通知(6.29文).pdf


    远程公式执行漏洞

    远程调用FineReport公式,绕过安全管理脚本调用公式限制

    FineReport:

    2022-02-28之后版本

    2022-07-15之前版本

    FineBI:

    2022-03-01之后版本

    2022-07-15之前版本(非FR10 适配版本)

    无临时方案,影响范围较小一般不存在升级问题。/

    Apache log4j2 安全漏洞

    Log4j2 远程代码执行漏洞 CVE-2021-44228 公布时 FineReport 和 FineBI 使用的还是log4j1.2.17 不受影响

    log4j1.2.17 相关漏洞均不受影响,并且 2022-02-17 之后版本已默认移除漏洞相关类文件

    产品本身不受影响

    10.0 版本使用1.2.17

    11.0.2(2022-01-11)升级至2.17.1

    11.0.7(2022-08-03)升级至2.18.0

    升级以下插件:

    Elasticsearch 数据集:V2.0.5及之后版本

    Elasticsearch数据集-悦享版:V1.4.4及之后版本

    悦享版文件上传下载:V16.2及之后版本

    /


    附件列表


    主题: 部署集成
    • 有帮助
    • 没帮助
    • 只是浏览

    售前咨询电话

    400-811-8890转1

    在线技术支持

    在线QQ:800049425

    热线电话:400-811-8890转2

    总裁办24H投诉

    热线电话:173-1278-1526

    文 档反 馈

    鼠标选中内容,快速反馈问题

    鼠标选中存在疑惑的内容,即可快速反馈问题,我们将会跟进处理。

    不再提示

    10s后关闭

    7*24h

    智 能客 服