分類: 事件通告

【影響範圍】

• 1.EXCELLENT INFOTEK BiYan v2.9~v3.0

【細節描述】

中華資安國際Red Team團隊發現，國內市占率相當高的知名公文系統具有SQL注入(CVE-2021-22859)以及身分驗證缺失漏洞(CVE-2021-22860)，影響範圍包含政府、學校與企業等至少約10個機構，簡述如下：
CVE-2021-22859：攻擊者可在不經過任何身分認證情況下，直接進行SQL注入攻擊，攻擊者可讀出完整資料庫表單。此漏洞可歸類於OWASP TOP 10 2017之A1 – Injection類型中。
CVE-2021-22860：攻擊者可在不經過任何身分認證情況下，直接查詢系統所有使用者帳號與密碼資訊，可利用取得之帳號密碼進行系統登入，進而取得相關權限。此漏洞可歸類於OWASP TOP 10 2017之A2 – Broken Authentication類型中。
開發廠商接獲通報後已配合儘速釋出相關更新，若機關或企業有使用公文系統者，建議儘快聯繫廠商進行修補更新。

【建議措施】

1. 使用者：聯繫廠商盡速安裝修補更新檔。
2. 公文系統開發商：在程式開發過程中應針對輸入參數做檢查。
3.公文系統開發商：建議導入安全程式開發流程（SSDLC）、事前進行安全程式碼開發教育訓練，並定期執行源碼檢測及滲透測試等安全檢測，才能有效地確保產
品及用戶安全。