一、 基本情况

      Smartbi平台存在三个高危漏洞，包括SQL注入漏洞和任意文件读取、任意文件上传漏洞。攻击者通过以上漏洞可读取敏感信息和上传任意文件，获取最高权限。

      二、 攻击原理

      Smartbi是企业级商业智能和大数据分析平台，经过多年的持续发展，整合了各行业的数据分析和决策支持的功能需求，包括企业级报表、数据可视化分析、自助分析平台、数据挖掘建模、AI智能分析等。此系统多用于银行、保险、证券、国有企业、政府和教育领域。

      本次通告包含Smartbi平台以下三个漏洞：

      1) Smartbi SQL注入漏洞：

      Smartbi某接口存在SQL注入，无需身份认证的攻击者可利用该漏洞查看数据库中的敏感信息或删除任意用户。

      2) Smartbi任意文件读取漏洞：

      Smartbi存在任意文件读取漏洞，具有普通用户权限的攻击者利用该漏洞可以读取任意文件。

      3) Smartbi任意文件上传漏洞：

      Smartbi某接口存在任意文件上传漏洞，具有普通账户权限的攻击者可利用该漏洞上传任意文件。此漏洞可getshell。

      三、 影响范围

      受影响版本：

      Smartbi V9、V8、V7、V6

      四、 处置建议

      目前Smartbi官方已更新补丁，建议尽快安装补丁修复漏洞：

      http://www.smartbi.com.cn/9682

      五、参考链接

      1) http://www.smartbi.com.cn/

      2) http://www.smartbi.com.cn/9682