五月婷婷丁香性爱|j久久一级免费片|久久美女福利视频|中文观看在线观看|加勒比四区三区二|亚洲裸女视频网站|超碰97AV在线69网站免费观看|有码在线免费视频|久久青青日本视频|亚洲国产AAAA

服務(wù)公告

全部公告 > 安全公告 > 微信支付JAVA版本SDK存在XXE漏洞預(yù)警

微信支付JAVA版本SDK存在XXE漏洞預(yù)警

2018-07-04

一、概要

近日,國外安全社區(qū)公布微信支付官方SDK存在XXE嚴重漏洞,該漏洞為微信在JAVA版本的SDK中提供callback回調(diào)功能,用來幫助商家接收異步付款結(jié)果,該接口接受XML格式的數(shù)據(jù),攻擊者可以構(gòu)造惡意的回調(diào)數(shù)據(jù)(XML格式)來竊取商家服務(wù)器上的任何信息,可導(dǎo)致商家服務(wù)器被入侵(繞過支付的效果)。目前漏洞詳細信息及攻擊方式已被公開,影響范圍巨大,建議用到微信支付SDK的租戶快速檢查并修復(fù)。

參考鏈接:

http://seclists.org/fulldisclosure/2018/Jul/3

二、漏洞級別

漏洞級別:【嚴重】

(說明:漏洞級別共四級:一般、重要、嚴重、緊急。)

三、影響范圍

漏洞影響WxPayAPI_JAVA_v3

四、安全建議

1、目前廠商已提供補丁修復(fù)該漏洞,建議受影響的租戶隨時關(guān)注廠商的下載頁以獲取最新版本,官方下載鏈接:https://pay.weixin.qq.com/wiki/doc/api/native_sl.php?chapter=11_1

2、臨時方案:使用華為云Web應(yīng)用防火墻的客戶無需升級補丁即可防御。

注意:修復(fù)漏洞前請將資料備份,并進行充分驗證和測試。