漏洞类型	任意文件上传	发现时间	2024-04-17	漏洞等级	严重
MPS编号	MPS-wzyc-o678	CVE编号	–	漏洞影响广度	小

目录隐藏

2.1 OSCS 平台影响范围和处置方案

3 排查方式

漏洞危害

OSCS 描述

kkFileView是使用spring boot搭建的文件文档在线预览解决方案，支持主流办公文档的在线预览。
kkFileView 4.2.0 到4.4.0-beta版本中文件上传功能存在zip路径穿越问题，导致攻击者可以通过上传恶意构造的zip包，覆盖任意文件。
kkFileView预览功能中会调用Libreoffice将odt文件转换为pdf，过程中会调用uno.py，攻击者可通过覆盖uno.py文件可执行任意python代码。
参考链接：https://www.oscs1024.com/hd/MPS-wzyc-o678

影响范围及处置方案

OSCS 平台影响范围和处置方案

影响范围	处置方式	处置方法
kkFileView [4.2.0, 4.4.0-beta]	缓解措施	开启file.upload.disable=true参数，禁用首页的上传文件，关闭演示入口
参考链接：https://www.oscs1024.com/hd/MPS-wzyc-o678

排查方式

方式1：使用漏洞检测CLI工具来排查使用文档：https://www.murphysec.com/docs/faqs/integration/cli.html

方式2：使用漏洞检测IDEA插件排查使用文档：https://www.murphysec.com/docs/faqs/integration/jetbrains-ide-plugin.html

方式3：接入GitLab进行漏洞检测排查使用文档：https://www.murphysec.com/docs/faqs/integration/gitlab.html

更多排查方式：https://www.murphysec.com/docs/faqs/integration/

本文参考链接

https://www.oscs1024.com/hd/MPS-wzyc-o678

https://github.com/kekingcn/kkFileView/commit/421a2760d58ccaba4426b5e104938ca06cc49778

kkFileView 4.2.0-4.4.0 任意文件上传导致远程执行漏洞 (MPS-wzyc-o678)

漏洞危害

影响范围及处置方案

OSCS 平台影响范围和处置方案

排查方式

相关推荐

curl 存在 fopen 竞争条件漏洞 （CVE-2023-32001） [有POC]

Spring Web UriComponentsBuilder主机名校验不当 (CVE-2024-22262)

runc <1.2.0-rc.1 systemd属性注入漏洞 (CVE-2024-3154)

Apache NiFi H2驱动存在代码注入漏洞 (CVE-2023-34468)

RocketMQ NameServer存在远程代码执行漏洞 （CVE-2023-37582）[有POC]

curl 存在 fopen 竞争条件漏洞（CVE-2023-32001） [有POC]

RocketMQ NameServer存在远程代码执行漏洞（CVE-2023-37582）[有POC]