漏洞概况

U8 cloud是X友推出的新一代云ERP，主要聚焦成长型、创新型企业，提供企业级云ERP整体解决方案。

近日用友官方发布了数个U8 Cloud的漏洞补丁更新，修复了反序列化及文件删除的漏洞。这些漏洞影响U8 Cloud全版本，且无需认证直接远程利用，攻击者利用漏洞可删除服务器任意文件或直接获取服务器权限。

影响版本

U8 Cloud全版本

漏洞信息

• CacheInvokeServlet接口反序列化漏洞（CVE-2023-33415）

• 通过该接口发送精心构造的反序列化数据可在服务器上执行任意代码，获取服务器权限。



• FileTransportServlet接口反序列化漏洞（CVE-2023-35547）

• 通过该接口发送精心构造的反序列化数据可在服务器上执行任意代码，获取服务器权限。



• PrintTemplateFileServlet接口任意文件删除漏洞（CVE-2023-32473）

• 参数控制不严格，攻击者通过构造Get请求可直接删除服务器上文件。

修复方案

1、官方修复方案：

官方已经发布安全补丁，请尽快升级到最新版，相关链接如下所示：

https://security.yonyou.com/#/patchInfo?foreignKey=dc9efa413a644d88b55403cdc150cfea

https://security.yonyou.com/#/patchInfo?foreignKey=eb893884876e4bc2acd04ee40dc4cb5f

https://security.yonyou.com/#/patchInfo?foreignKey=456abb6ce5544ef4a0065fd3a22c1552

2、临时修复方案：

（1）如非必要，不将U8 Cloud暴露在公网上

（2）使用ACL网络策略限制访问来源

（3）使用防护类设备对相关接口进行防护