下载本文档解释了Source Incite的Steven Seeley报告的未经认证的远程代码执行漏洞。针对任意文件上传漏洞的短期修复方案于2020年1月20日版本#10.0.474中发布。远程代码执行漏洞的完整修复现在发布于版本#10.0.479中。
注意：此漏洞不会影响安全网关服务器。使用包含短期修复的构建版本的客户不会受到此漏洞的攻击。
这个漏洞允许远程攻击者在受影响的Endpoint Central安装上执行任意代码。利用此漏洞不需要身份验证。
请更新到于2020年3月7日发布的最新版本#10.0.479 。
补丁及其安装步骤，另请参阅https://www.manageengine.com/products/desktop-central/service-packs.html.
如果您在应用补丁时遇到问题，可以参考下面给出的步骤手动修复漏洞。
<servlet-mapping>
<servlet-name>MDMLogUploaderServlet</servlet-name>
<url-pattern>/mdm/mdmLogUploader</url-pattern>
<url-pattern>/mdm/client/v1/mdmLogUploader</url-pattern>
</servlet-mapping>
<servlet>
<servlet-name>MDMLogUploaderServlet</servlet-name>
<servlet-class>com.me.mdm.onpremise.webclient.log.MDMLogUploaderServlet</servlet-class>
</servlet>
<servlet-mapping>
<servlet-name>CewolfServlet</servlet-name>
<url-pattern>/cewolf/*</url-pattern>
</servlet-mapping>
<servlet>
<servlet-name>CewolfServlet</servlet-name>
<servlet-class>de.laures.cewolf.CewolfRenderer</servlet-class>
<init-param>
<param-name>debug</param-name>
<param-value>false</param-value>
</init-param>
<init-param>
<param-name>overliburl</param-name>
<param-value>/js/overlib.js</param-value>
</init-param>
<init-param>
<param-name>storage</param-name>
<param-value>de.laures.cewolf.storage.FileStorage</param-value>
</init-param>
<load-on-startup>1</load-on-startup>
</servlet>注意：执行上述操作后，Endpoint Central用户将不能从移动设备上传日志。
关键词：安全更新、漏洞和修复、SRC-2020-0011
更多问题，欢迎邮件support@manageengine.cn或拨打免费电话400-6608680联系我们。
