0x01 漏洞背景
2020年06月04日， 360CERT监测发现国内安全组织发布了用友NC远程命令执行漏洞的风险通告，漏洞等级：高危。
用友NC是一款企业级管理软件，在大中型企业广泛使用。实现建模、开发、继承、运行、管理一体化的IT解决方案信息化平台。
用友NC存在反序列化漏洞，攻击者通过构造特定的HTTP请求，可以在目标服务器上远程执行任意命令。
目前该漏洞暂无安全补丁发布，360CERT建议广大用户做好资产自查以及预防工作，以免遭受黑客攻击。
0x02 风险等级
360CERT对该漏洞的评定结果如下
| 评定方式 | 等级 |
|---|---|
| 威胁等级 | 高危 |
| 影响面 | 一般 |
0x03 影响版本
- 用友NC：全版本
0x04 修复建议
- 用友NC为商业软件，可直接联系用友官方获得安全升级方案。
- 在官方安全补丁发布之前，建议相关企业严格限制用友NC的访问权限，禁止外部IP请求用友NC应用。
0x05 时间线
2020-06-04 国家电网公司信息与网络安全重点实验室发布漏洞通告
2020-06-04 360CERT发布漏洞通告