关键信息一览 漏洞概述 Product: Sangfor (深信服) Product Name: Operation and Maintenance Management System (OSM / 运维安全管理系统) Affected Version: 3.0.8 (and potentially earlier versions) Vulnerability Type: OS Command Injection 描述 存在一个关键的远程命令执行（RCE）漏洞。 漏洞位于 终端。 应用程序未能正确地解析 参数。 漏洞细节和根本原因 输入处理不安全：终端 接收 参数。 消毒不足：尽管有一个正则表达式检查，但它会被绕过或不足以阻止命令分割器。 命令注入：应用程序通过字符串连接构建命令。 执行：ShellExecutor 类通过系统外壳直接执行污染字符串。 概念验证 (PoC) 访问 输出当前用户。 缓解措施 1. 输入验证：严格列出 参数。 2. 安全编码：用 Java's 替代 或外壳连接。