关于畅捷通 T+ 文件上传漏洞（0day）

[kokyang123]

2022 年 8 月 29 日和 8 月 30 日，畅捷通公司紧急发布安全补丁修复了畅捷通 T+ 软件任意文件上传漏洞。未经身份认证的攻击者利用该漏洞，通过绕过系统鉴权，在特定配置环境下实现任意文件的上传，从而执行任意代码，获得服务器控制权限。目前，已有用户被不法分子利用该漏洞进行勒索病毒攻击的情况出现。

我们公司购买了一套畅捷通部署在了自己的服务器上，目前所有与畅捷通相关的文件已经被勒索病毒锁定，v 站有被影响到的小伙伴吗

[sampeng]

@thtznet 内网穿透不可能吧。。。肯定是 vpn/专线这一类啊。。用内网穿透的方案？那有漏洞怪不得别人。。该赔赔

[sampeng]

@kokyang123 还是要对这些软件的架构方案进行内部安全评审才行。

[thtznet]

@kokyang123 混合云就这点毛病，出了事，都说自己没问题。该认清现实了，国内的软件厂商靠不住的，要么所有走公有云，出问题，对方赖都赖不掉，全托管的。要么就全部私有云，自己内网部署，不要和任何互联网沾上边，风险自控。不要考虑金蝶用友那种不伦不类的玩法。

[thtznet]

@sampeng 实际架构很难说清楚，谁知道怎么传输的数据，但是你的服务器和厂商的服务器连通的这点是确定的，不管套不套 VPN ，主要你的口子和厂商的网络连通，那么相当于你把安全性交给的厂商，国内的厂商这种商业道德么你们也懂的...