漏洞描述
泛微 E-Office 是一款标准化的协同 OA 办公软件，实行通用化产品设计，充分贴合企业管理需求，本着简洁易用、高效智能的原则，为企业快速打造移动化、无纸化、数字化的办公平台。泛微E-OFFICEV10通过向attachment/atuh-file接口上传恶意序列化数据.inc文件，之后在找到dingtalk/dingtalk-move反序列化触发点触发 phar 反序列化达到RCE操作。泛微E-OFFICEV10全版本RCE可直接获取OA系统服务器管理员权限，攻击者可利用该漏洞执行任意系统命令、获取系统数据库配置账号密码，并通过连接数据库获取OA管理员及所有用户账号密码、员工基本信息、公司组织架构，进入OA后台可自由添加删除人员账户、查看企业内部敏感文档，利用这些信息和账户身份进行鱼叉攻击、窃取企业机邮件和文档；还可以获取OA配置的邮件配置信息或VPN配置信息，攻击者可进行二次利用，会对企业内部安全造成重大安全隐患。