【已复现】大华智能物联综合管理平台 GetClassValue 远程代码执行漏洞
【已复现】大华智能物联综合管理平台 GetClassValue 远程代码执行漏洞
原创 应急团队 长亭安全应急响应中心 2025-01-10 06:35
大华智能物联综合管理平台是一款集设备接入管理、数据分析与应用部署为一体的物联网管理解决方案，广泛应用于安防、交通、工业和零售等领域。2025年1月，互联网披露大华智能物联综合管理平台的 GetClassValue 接口中存在远程代码执行漏洞（RCE）。经研判，该漏洞可能被攻击者利用，导致服务器遭受任意命令执行，建议相关用户尽快修复此漏洞。
漏洞描述
Description
01
漏洞成因该漏洞与平台中某个类加载与方法调用的缺陷有关，接口允许通过外部请求动态传入待加载的类名、待执行的方法及相关参数，由于缺乏严格的安全校验和访问控制，攻击者得以在特定条件下执行任意命令。此过程可将执行结果回显到响应中，使攻击者可以验证并利用该漏洞，最终导致远程代码执行。漏洞影响攻击者成功利用该漏洞将会导致严重的安全后果。未经授权的攻击者可以执行任意代码，获得服务器的进一步控制权。最严重的情况下，这可能导致服务器的完全接管，敏感数据泄露，甚至将服务器转化为发起其他攻击的跳板。处置优先级：高漏洞类型：远程代码执行漏洞危害等级：严重触发方式：网络远程权限认证要求：无需权限系统配置要求：默认部署用户交互要求：无需用户交互利用成熟度：POC/EXP已公开批量可利用性：可使用通用 POC/EXP，批量检测/利用修复复杂度：低，官方提供补丁修复方案影响版本 Affects 02version < 5.0.16解决方案 Solution 03临时缓解方案1. 使用WAF等防护设备对目标系统进行防护，拦截包含恶意代码的请求。2. 在不影响业务的情况下配置URL访问控制策略。3. 如非必要，避免将相关资产直接暴露在互联网上。升级修复方案大华官方已完成该漏洞的修复，请尽快联系售后人员下载安全版本升级或补丁修复漏洞。漏洞复现 Support 04
产品支持
Support
05
云图：默认支持该产品的指纹识别，同时支持该漏洞的PoC原理检测。洞鉴：已发布更新支持该漏洞的检测。雷池：已发布自定义规则支持该漏洞利用行为的检测。全悉：已发布规则升级包支持该漏洞利用行为的检测。
时间线
Timeline
06
1月2日 互联网公开披露该漏洞1月2日 长亭应急安全实验室复现漏洞1月10日 长亭安全应急响应中心发布通告
参考资料：
[1]. https://support.dahuatech.com/afterSales
长亭应急响应服务
全力进行产品升级
及时将风险提示预案发送给客户
检测业务是否受到此次漏洞影响
请联系长亭应急服务团队
7*24小时，守护您的安全
第一时间找到我们：