标题:NC BeanShell远程代码执行漏洞（CNVD-2021-30167） bsh.servlet.BshServlet 远程命令执行漏洞补丁
作者:
日期:2023-08-03 14:48:00
内容:
用友 NC bsh.servlet.BshServlet 存在远程命令执行漏洞，通过BeanShell 执行远程命令获取服务器权限
影响版本：NC57 / NC63 / NC65 / NCC1903 / NCC1909 / NCC2005
漏洞说明：
2021年5月27日，国家信息安全漏洞共享平台（CNVD）公布了用友NC存在命令执行漏洞（CNVD-2021-30167），用友NC采用J2EE架构，面向大型企业集团和成长中的集团企业的信息化需求，为集团企业提供建模、开发、集成、运行、管理一体化的信息化解决方案。
2021年6月2日，用友公司发布了关于用友NC BeanShell远程代码执行漏洞的风险通告。由于用友NC对外开放了BeanShell的测试接口，未经身份验证的攻击者利用该测试接口，通过向目标服务器发送恶意构造的Http请求，在目标系统上直接执行任意代码，从而获得目标服务器权限。
CNVD对该漏洞的综合评级为“高危”。用友NC存在命令执行漏洞，攻击者可利用该漏洞获取服务器控制权。漏洞细节如下：
漏洞ID: CNVD-2021-30167
漏洞危害等级：高
漏洞详细信息：
https://www.cnvd.org.cn/webinfo/show/6491
https://www.cnvd.org.cn/flaw/show/CNVD-2021-30167