风险提示｜大华智慧园区综合管理平台远程代码执行漏洞

漏洞详情：【大华智慧园区综合管理平台远程代码执行漏洞】(https://stack.chaitin.com/vuldb/detail?id=39759613-e39d-47b2-9a8b-4a560baef1cc)\r

\r

“大华智慧园区综合管理平台”是集园区运营、资源配置、智能服务等功能的综合管理平台。该平台旨在帮助优化园区资源配置，满足多元化管理需求，同时通过提供智能化服务提升用户体验。\r

近日，微步在线发布安全公告文章称，大华智慧园区综合管理平台已修复远程代码执行漏洞。 \r

长汀应急小组分析该漏洞后，根据漏洞原理编写了X-POC远程检测工具，供大家下载使用自查。本文还提供了对资产进行故障排除的方法。 \r

## **漏洞描述**\r

大华智慧园区综合管理平台在处理用户请求数据时没有进行充分的检查和过滤，可能导致恶意用户执行任意代码。 \r

**长亭科技安全研究人员经过分析发现，目前互联网上仍有不少系统未修复相关漏洞。恶意用户利用该漏洞时，相对容易利用，无需认证即可获取系统权限。建议尽快修复该漏洞。 **\r

## **检测工具**\r

### **xpoc远程检测工具**\r

新用户可以到CT stack下载使用：https://stack.chaitin.com/tool/detail?id=1036\r

\r

老用户请执行`xpoc升级`更新到最新版本（该漏洞检测依赖版本：=0.0.4）\r

\r

执行`xpoc -r 98 -t https://example.com`来检测漏洞\r

\r

## **资产检查**\r

\r

body_string=\'/WPMS\'\r

\r

header_string=\'hauc\'\r

\r

## **影响范围**\r

=V3.001.0000004.18.R.2223994\r

## **解决方案**\r

建议相关系统用户尽快打补丁，同时限制访问来源，尽量避免大华智慧园区综合管理平台暴露在公网或不安全的网络环境中。 \r

## **产品支持**\r

- 云图：默认支持本产品的指纹识别，同时也支持该漏洞的PoC原理检测。 \r

- Insight：支持以引擎升级包的形式进行检测。 \r

- 雷驰：默认支持该漏洞检测。 \r

- 一体机：默认支持检测，已发布升级包，支持特定漏洞检测。 \r

## **参考文献**\r

[https://www.dahuatech.com/](https://www.dahuatech.com/)