聲明：該文章由作者（nekonekoni）發(fā)表，轉(zhuǎn)載此文章須經(jīng)作者同意并請(qǐng)附上出處(0XUCN)及本頁鏈接。。

契約鎖是一個(gè)電子簽章及印章管控平臺(tái)，提供的電子文件具有與紙質(zhì)文件一樣的法律效力。

漏洞描述

近日，奇安信CERT監(jiān)測(cè)到官方修復(fù)契約鎖電子簽章系統(tǒng)遠(yuǎn)程代碼執(zhí)行漏洞(QVD-2025-23408)，該漏洞源于管理控制臺(tái)存在未授權(quán)JDBC注入漏洞，攻擊者通過構(gòu)造惡意數(shù)據(jù)庫連接參數(shù)，在dbtest接口觸發(fā)遠(yuǎn)程代碼執(zhí)行。目前該漏洞技術(shù)細(xì)節(jié)與PoC已在互聯(lián)網(wǎng)上公開，鑒于該漏洞影響范圍較大，建議客戶盡快做好自查及防護(hù)。

影響范圍

影響版本

4.3.8 <= 契約鎖 <= 5.3.* && 補(bǔ)丁版本 < 2.1.5>>>>

其他受影響組件

無

復(fù)現(xiàn)情況

目前，奇安信威脅情報(bào)中心安全研究員已成功復(fù)現(xiàn)契約鎖電子簽章系統(tǒng)遠(yuǎn)程代碼執(zhí)行漏洞(QVD-2025-23408)，截圖如下：

處置建議

安全更新

契約鎖官方已發(fā)布安全補(bǔ)丁，請(qǐng)及時(shí)更新安全補(bǔ)丁。官方補(bǔ)丁下載地址：https://www.qiyuesuo.com/more/security/servicepack>>>>

產(chǎn)品解決方案

奇安信網(wǎng)站應(yīng)用安全云防護(hù)系統(tǒng)已更新防護(hù)特征庫

奇安信網(wǎng)神網(wǎng)站應(yīng)用安全云防護(hù)系統(tǒng)已全局更新所有云端防護(hù)節(jié)點(diǎn)的防護(hù)規(guī)則，支持對(duì)契約鎖電子簽章系統(tǒng)遠(yuǎn)程代碼執(zhí)行漏洞(QVD-2025-23408)的防護(hù)。

奇安信網(wǎng)神網(wǎng)絡(luò)數(shù)據(jù)傳感器系統(tǒng)產(chǎn)品檢測(cè)方案

奇安信網(wǎng)神網(wǎng)絡(luò)數(shù)據(jù)傳感器（NDS5000/7000/9000系列）產(chǎn)品，已具備該漏洞的檢測(cè)能力。規(guī)則ID為：8123 ，建議用戶盡快升級(jí)檢測(cè)規(guī)則庫至2506121730以上；

奇安信天眼檢測(cè)方案

奇安信天眼新一代安全感知系統(tǒng)已經(jīng)能夠有效檢測(cè)針對(duì)該漏洞的攻擊，請(qǐng)將規(guī)則版本升級(jí)到3.0.0612.14740或以上版本。規(guī)則ID及規(guī)則名稱：0x1002230F，契約鎖電子簽章系統(tǒng)遠(yuǎn)程代碼執(zhí)行漏洞(QVD-2025-23408)。奇安信天眼流量探針規(guī)則升級(jí)方法：系統(tǒng)配置->設(shè)備升級(jí)->規(guī)則升級(jí)，選擇“網(wǎng)絡(luò)升級(jí)”或“本地升級(jí)”。

參考資料

[1]https://www.qiyuesuo.com/more/security/servicepack

時(shí)間線

2025年06月12日，奇安信 CERT發(fā)布安全風(fēng)險(xiǎn)通告。

漏洞情報(bào)服務(wù)

奇安信ALPHA威脅分析平臺(tái)已支持漏洞情報(bào)訂閱服務(wù)：

[超站]友情鏈接：

四季很好，只要有你，文娛排行榜：https://www.yaopaiming.com/
關(guān)注數(shù)據(jù)與安全，洞悉企業(yè)級(jí)服務(wù)市場(chǎng)：https://www.ijiandao.com/