Smartbi 远程命令执行漏洞
- CNNVD编号：未知
- 危害等级： 高危
- CVE编号：未知
- 漏洞类型： 远程代码执行
- 威胁类型：未知
- 厂 商：未知
- 漏洞来源：深信服
- 发布时间：2023-03-17
- 更新时间：2023-03-17
漏洞简介
2023 年 3 月 2 日，深信服安全团队监测到 Smartbi 官方发布了一则漏洞安全通告，通告披露了 Smartbi 组件存在远程命令执行漏洞。
该漏洞存在 DB2 远程代码执行补丁包绕过的情况，攻击者可利用该漏洞在未授权的情况下，构造恶意数据进行远程命令执行攻击，最终可获取服务器最高权限。
漏洞公示
暂无
参考网站
https://www.smartbi.com.cn/patchinfo
受影响实体
Smartbi 是国产化大数据分析平台，可能受漏洞影响的资产主要广泛分布于国内，国内省市中，北京、广州、上海、湖北等省市接近 70%，今年曝出的漏洞又是高危级别，涉及用户量过多，导致漏洞影响力很大。
目前受影响的 Smartbi 版本：
V7 <= Smartbi <= V10.5.8
补丁
解决方案
如何检测组件版本
登录设备后台，点击页面右上角系统监控，找到系统补丁选项卡，点击安全补丁子选项卡，即可在当前页面分别可以找到在线更新和手动更新补丁包选项。如果已经更新，则提示没有需要更新的安全补丁。
官方修复建议
当前官方已发布受影响版本的对应补丁，建议受影响的用户及时更新官方的安全补丁。链接如下：
https://www.smartbi.com.cn/patchinfo
