一、漏洞概述

• 简介

      Nuxeo[1]平台是一个开源的可定制和可扩展的内容管理平台，用于构建业务应用程序。它为开发文档管理，数字资产管理，案例管理应用程序和知识管理奠定了基础。 您可以使用即用型插件轻松添加功能，也可以使用其扩展点系统扩展平台。

2018 年 12 月 26 日，安全研究员星光披露了 Nuxeo 在版本小于 10.3 中存在认证绕过和远程命令执行漏洞[2]。

2018 年 12 月 26 日，Seebug 平台收录了该漏洞[3]，知道创宇 404 漏洞应急团队开始对该漏洞进行漏洞应急。

• 影响版本

 Nuxeo Server 版本 < 10.3

二、漏洞复现

• 复现环境

 Nuxeo Server 9.2

三、漏洞影响

根据 ZoomEye 网络空间搜索引擎对 Nuxeo 关键词的搜索结果[4]，共找到 2215 条历史记录。

四、防护方案

1、Nuxeo 官方已经在 10.3 版本中修复了该漏洞，建议受影响的用户尽快升级更新进行防护。

2、使用第三方防火墙进行防护(如创宇盾[https://www.yunaq.com/cyd/])

3、技术业务咨询

知道创宇技术业务咨询热线 :

400-060-9587(政府，国有企业)、028-68360638(互联网企业)