收藏

历史
投稿

【已复现】用友 U8 Cloud IPFxxFileService 任意文件上传漏洞安全通告

长亭安全应急响应中心 2025-09-18 15:46:00
收藏

2025-09-18 15:46 北京

检测业务是否受到此漏洞影响，请联系长亭应急服务团队！

U8 cloud是用友推出的新一代云ERP，主要聚焦成长型、创新型企业，提供企业级云ERP整体解决方案。

2025年9月17日，用友安全中心发布关于U8cloud所有版本IPFxxFileService任意文件上传漏洞的安全公告。攻击者通过利用易受攻击的代码，实现任意文件上传，造成严重的系统损害，建议受影响的用户及时更新补丁进行修复。

漏洞描述

 Description 

01

漏洞成因

该漏洞源于IPFxxFileService在处理用户提供的文件路径时，缺乏有效的路径验证机制，导致攻击者可将恶意文件上传到Web可访问目录从而实现远程代码执行。

漏洞影响

远程代码执行：攻击者可在服务器上执行任意系统命令，可能导致服务器被完全控制、数据泄露或业务系统沦陷。

处置优先级：高

漏洞类型：远程代码执行

漏洞危害等级：高

触发方式：网络远程

权限认证要求：无需权限

系统配置要求：默认配置

用户交互要求：无需用户交互

利用成熟度：POC/EXP 未公开

修复复杂度：低，官方提供补丁修复方案

影响版本

 Affects 

02

用友-U8-Cloud 所有版本

解决方案

 Solution 

03

升级修复方案

用友安全中心已发布安全补丁，请及时更新补丁：

https://security.yonyou.com/#/patchInfo?identifier=d791e304136648d5a3cf36bcda869690

临时缓解方案

如非必要，避免将该系统直接暴露在互联网

漏洞复现

Reproduction 

04

产品支持

Support

05

云图：默认支持该产品的指纹识别，同时支持该漏洞的PoC检测

洞鉴：预计2025年9月18日支持原理自定义PoC检测

全悉：预计2025年9月18日发布规则包支持检测

无锋：默认支持该产品的指纹识别，预计2025年9月18日支持该漏洞的PoC检测

时间线

 Timeline 

06

2025年9月17日   用友安全中心发布安全公告

2025年9月18日  长亭安全应急响应中心发布通告

长亭应急响应服务

全力进行产品升级

及时将风险提示预案发送给客户

检测业务是否受到此次漏洞影响

请联系长亭应急服务团队

7*24小时，守护您的安全

第一时间找到我们：

邮箱：[email protected]

阅读原文

跳转微信打开

原始链接： https://mp.weixin.qq.com/s?__biz=MzIwMDk1MjMyMg==&mid=2247492947&idx=1&sn=bc92f12f3d90bcd06f0abd74be0a7be4
侵权请联系站方： [email protected]

相关推荐

换一批