【威胁通告】dotCMS SQL注入漏洞

阅读： 118

2017年2月15日，seclists.org网站发布了关于dotCMS存在SQL注入漏洞的消息。文章称，dotCMS 3.6.1及其之前的部分版本，在“/categoriesServlet”的q和inode参数上存在SQL注入，未经身份认证的攻击者可以利用该漏洞获取敏感数据。

当dotCMS的版本<=3.3.2时，与之配套使用的mysql，mssql，H2和PostgreSQL受该漏洞影响；当dotCMS的版本为3.5-3.6.1时，如果standard_confirming_strings为禁用时（默认为启用），与之配套使用的MySQL和PostgreSQL受该漏洞影响。相关链接如下： http://seclists.org/fulldisclosure/2017/Feb/34

文章目录

什么是dotCMS

dotCMS是一个由JAVA语言开发的免费的内容管理系统，开源且跨平台。它可以为网站、移动APP等提供相关平台。在dotCMS中使用到的开源项目与框架有：Apache Tomcat ，Liferay Enterprise Portal ，Apache Struts， Hibernate ORM，Velocity模板语言，Lucene搜索引擎等 。

受影响的版本 dotCMS version <= 3.3.2且数据库为MySQL，MSSQL，H2以及PostgreSQL dotCMS version 3.5-3.6.1，在standard_confirming_strings为禁用状态且数据库为MySQL、PostgreSQL 不受影响的版本 dotCMS version = 3.6.2 规避方案 官方已经发布版本更新，建议用户升级到不受影响的最新版本(3.6.2)； 使用dotCMS 3.5-3.6.1版本的用户，确保stand_confirming_strings函数为启用状态。 声明

本安全公告仅用来描述可能存在的安全问题，绿盟科技不为此安全公告提供任何保证或承诺。由于传播、利用此安全公告所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，绿盟科技以及安全公告作者不为此承担任何责任。绿盟科技拥有对此安全公告的修改和解释权。如欲转载或传播此安全公告，必须保证此安全公告的完整性，包括版权声明等全部内容。未经绿盟科技允许，不得任意修改或者增减此安全公告内容，不得以任何方式将其用于商业目的。

关于绿盟科技

北京神州绿盟信息安全科技股份有限公司（简称绿盟科技）成立于2000年4月，总部位于北京。在国内外设有30多个分支机构，为政府、运营商、金融、能源、互联网以及教育、医疗等行业用户，提供具有核心竞争力的安全产品及解决方案，帮助客户实现业务的安全顺畅运行。

基于多年的安全攻防研究，绿盟科技在网络及终端安全、互联网基础安全、合规及安全管理等领域，为客户提供入侵检测/防护、抗拒绝服务攻击、远程安全评估以及web安全防护等产品以及专业安全服务。

北京神州绿盟信息安全科技股份有限公司于2014年1月29日起在深圳证券交易所创业板上市交易，股票简称：绿盟科技，股票代码：300369。

如果您需要了解更多内容，可以

加入QQ群：570982169

直接询问：010-68438880