0x00 漏洞背景
近日，360CERT 监测到致远 OA A8 系统存在远程 Getshell 漏洞，已经被在野利用。致远OA A8 是一款流行的协同管理软件，在各中、大型企业机构中广泛使用。
0x01 漏洞详情
致远 A8+ 某些版本系统，存在远程任意文件上传文件上传漏洞，并且无需登录即可触发。攻击者构造恶意文件，成功利用漏洞后可造成Getshell。目前利用代码已在野外公开，漏洞验证效果如下：
已验证影响版本：
- A8 V7.0 SP3
- A8 V6.1 SP2
0x02 安全建议
漏洞位置为：/seeyon/htmlofficeservlet，可以对该地址配置ACL规则。
或者联系官方获取补丁程序，官网地址：http://www.seeyon.com/Info/constant.html
0x03 时间线
2019-06-26 360CERT监测到漏洞
2019-06-26 360CERT发布漏洞预警