最新dotCMS SQL注入漏洞 攻擊者可獲得敏感資料 綠盟科技釋出安全威脅通告

dotcms 3.6.2以下版本可能存在sql注入漏洞 ，綠盟科技釋出《dotcms sql注入漏洞安全威脅通告》，通告全文如下

2017年2月15日，seclists.org網站釋出了關于dotcms存在sql注入漏洞的消息。文章稱，dotcms 3.6.1及其之前的部分版本，在“/categoriesservlet”的q和inode參數上存在sql注入，未經身份認證的攻擊者可以利用該漏洞擷取敏感資料。

當dotcms的版本<=3.3.2時，與之配套使用的mysql，mssql，h2和postgresql受該漏洞影響；當dotcms的版本為3.5-3.6.1時，如果standard_confirming_strings為禁用時（預設為啟用），與之配套使用的mysql和postgresql受該漏洞影響。

相關連結如下：

http://seclists.org/fulldisclosure/2017/feb/34

dotcms是一個由java語言開發的免費的内容管理系統，開源且跨平台。它可以為網站、移動app等提供相關平台。在dotcms中使用到的開源項目與架構有：apache tomcat ，liferay enterprise portal ，apache struts， hibernate orm，velocity模闆語言，lucene搜尋引擎等 。

受影響的版本

dotcms version <= 3.3.2且資料庫為mysql，mssql，h2以及postgresql

dotcms version 3.5-3.6.1，在standard_confirming_strings為禁用狀态且資料庫為mysql、postgresql

不受影響的版本

dotcms version = 3.6.2

規避方案

官方已經釋出版本更新，建議使用者更新到不受影響的最新版本(3.6.2)；

使用dotcms 3.5-3.6.1版本的使用者，確定stand_confirming_strings函數為啟用狀态。

本安全公告僅用來描述可能存在的安全問題，綠盟科技不為此安全公告提供任何保證或承諾。由于傳播、利用此安全公告所提供的資訊而造成的任何直接或者間接的後果及損失，均由使用者本人負責，綠盟科技以及安全公告作者不為此承擔任何責任。綠盟科技擁有對此安全公告的修改和解釋權。如欲轉載或傳播此安全公告，必須保證此安全公告的完整性，包括版權聲明等全部内容。未經綠盟科技允許，不得任意修改或者增減此安全公告内容，不得以任何方式将其用于商業目的。

原文釋出時間：2017年3月24日

本文由：綠盟科技釋出，版權歸屬于原作者

原文連結：http://toutiao.secjia.com/newest-dotcms-sql-injection-vulnerability

本文來自雲栖社群合作夥伴安全加，了解相關資訊可以關注安全加網站