Pivotal CRM Unsafe Deserialization Vulnerability (CWE-502) Advisory and Patch Guide

漏洞概述 漏洞名称: 不安全的反序列化（CWE-502） 漏洞描述: 该漏洞涉及在Pivotal 6.6.04.08版本中，由于使用.NET BinaryFormatter进行请求/响应载荷和持久化状态处理，导致不安全的反序列化问题。攻击者可以通过影响序列化输入触发 gadget-chain 反序列化，从而导致远程代码执行（RCE）。 影响范围 受影响版本: Pivotal 6.6.04.08 受影响组件: - Pivotal Package Client (Smart Client) - Pivotal Business Server (PBS) 修复方案 推荐修复: 升级到Pivotal CRM 6.6.5.10 - 6.6.5.10版本包含了完整的CWE-502修复，并增强了数据处理保护平台的安全性。 - 升级步骤： 1. 从下载门户获取6.6.5.10安装包。 2. 参考发布说明和升级指南。 3. 无需额外操作，修复已自动包含在升级中。 替代修复: 对于无法升级到6.6.5.10的环境，可以使用补丁包 - 补丁包包含以下修复： - Smart Client: 1. 停止Pivotal Smart Client服务。 2. 备份现有DLL（例如： ）。 3. 替换为补丁包中的DLL（ ）。 4. 重启Smart Client服务。 - PBS: 1. 停止Pivotal Business Server服务。 2. 备份现有DLL（例如： ）。 3. 替换为补丁包中的DLL（ ）。 4. 重启PBS服务。 - 部署顺序: 如果同时使用Smart Client和PBS，先部署PBS补丁，或同时部署两个补丁以避免兼容性问题。 验证 部署补丁后，确认Smart Client功能正常（登录和读写操作）。 确认PBS服务正常运行，Smart Client可以连接。 重新运行最初标记问题的安全测试，确认反序列化/RCE载荷被阻止。 注意事项 更新Smart Client DLL后，用户可能需要重新认证。 如果安全报告包含其他问题（如未加密的HTTP传输），需单独处理。 常见问题 如何确认是否受影响: 如果安全扫描报告标记CWE-502并识别.NET BinaryFormatter的使用，则可能受影响。 是否需要同时修补Smart Client和PBS: 如果两个组件都在范围内，应同时修补；如果只有一个组件，则修补该组件。 修补后的变化: Smart Client不再使用BinaryFormatter，PBS通过SafeSerializationBinder阻止危险的反序列化类型。 补丁下载 补丁包: Patch_CWE502_20260316.zip (274 KB) --- 总结: 该漏洞涉及不安全的反序列化，影响Pivotal 6.6.04.08版本的Smart Client和PBS组件。推荐升级到6.6.5.10版本，或应用补丁包进行修复。

目標達成 すべての支援者に感謝 — 100%達成しました！

Pivotal CRM Unsafe Deserialization Vulnerability (CWE-502) Advisory and Patch Guide

目標達成すべての支援者に感謝 — 100%達成しました！