严重
宝兰德-BESAppServer 反序列化致远程代码执行漏洞
披露时间：
2024-11-18
更新时间：
2024-11-20
CT 编号
CT-1550071
CVE 编号
N/A
CNVD 编号
N/A
CNNVD 编号
N/A
原理分类
反序列化漏洞
漏洞评分
9.8
漏洞描述
由于宝兰德 BESAppServer 对于通过 TCP 协议传入的数据过滤不严格，允许未经授权的攻击者使用 TCP 协议向服务器发送特制的请求，可以利用反序列化漏洞在未经授权的情况下远程执行任意代码或控制服务器。
漏洞危害
可能导致系统安全防线被突破，敏感信息如用户数据、密码等被泄露，系统功能被篡改，甚至可能导致整个服务器被控制，造成不可估量的损失。
修复方法
一、临时缓解方案
- 修改/conf/server.config 配置文件：
将ejb-container处的http-channel-enabled改为false
将ejb-listener处的enabled改为false - 限制访问来源地址，如非必要，不要将3000端口开放在互联网上。
二、升级修复方案
宝兰德官方已发布安全补丁，可联系官方售后获取补丁使用。
https://www.bessystem.com/content/b00f1e9ee0ad49b8a8525eb0a1d38da9
评分维度
长亭安全产品覆盖情况
雷池（SafeLine）下一代Web应用防火墙
洞鉴（X-Ray）安全评估系统
云图（Cloud Atlas）攻击面管理运营平台
牧云（CloudWalker） 主机安全管理平台
全悉（T-ANSWER）高级威胁分析预警系统
谛听（D-Sensor） 伪装欺骗系统
漏洞时间线
漏洞披露
2024-11-18
漏洞信息更新
2024-11-20
