Критична SQL-ін'єкція в Yonyou U8 CRM дозволяє виконувати довільні команди

Що відомо

У Yonyou U8 CRM виявлено критичну вразливість SQL-ін'єкції без автентифікації через параметр DontCheckLogin=1, що дозволяє обходити перевірку доступу. Зловмисники можуть виконувати довільні SQL-запити та, за наявності xp_cmdshell у Microsoft SQL Server, запускати команди ОС і створювати бекдори.

Бізнес-вплив

Ця вразливість ставить під загрозу цілісність і безпеку даних у системах, що використовують Yonyou U8 CRM, особливо на платформах Windows з Microsoft SQL Server. Зловмисники можуть отримати повний контроль над базою даних і сервером, що призводить до потенційних витоків інформації, порушення роботи бізнес-процесів і значних фінансових втрат.

Рекомендовані дії адміністратора

Адміністраторам слід негайно перевірити наявність оновлень або патчів від виробника Yonyou для усунення цієї вразливості. Рекомендується обмежити доступ до конфігураційних файлів і параметрів, перевірити налаштування безпеки SQL Server, особливо статус xp_cmdshell, а також провести аудит логів на ознаки експлуатації. Для додаткової підтримки рекомендується звернутися до DataHouse для перевірки версій ПЗ, управління патчами та аналізу мережевого трафіку.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference