# 011_DI安全漏洞说明及补丁方案
| 注：【备注】为3rd为第三方的补丁 | |||||
| 序号 | 小补丁号/方案 | 补丁主题 | 产品版本 | 产品模块 | 备注 |
| 1 | DI_6.2.0_GOVERNOR_20201228_C1 | 解决di6.2Governor跨站脚本漏洞问题 | DI6.2 | DI Governor | |
| 2 | DI_6.2.0_SECURITY_20210112_C1 | 解决DI BFTAgent 反序列化漏洞问题 | DI6.2 | DI AGENT | 3rd |
| 3 | DI_6.2.0_GOVERNOR_SERVER_20220623_P1 | 解决fastjson反序列化任意代码执行漏洞，升级至Fastjson 1.2.83版本 | DI6.2 | DI Governor 、SERVER | 3rd |
| 4 | DI_6.2.0_SERVER_20221019_P1 | 解决Eclipse Jetty 缓冲区错误漏洞(CVE-2009-5047)与Eclipse Jetty Dump Servlet 信息泄露漏洞(CVE-2009-5045)问题 | DI6.2&DI6.2.1 | SERVER | 3rd |
| 5 | DI_6.2.0_SERVER_20220404_C1 | 解决问题：SSL/TLS 受诫礼(BAR-MITZVAH)攻击漏洞(CVE-2015-2808)、SSL/TLS 服务器瞬时 Diffie-Hellman 公共密钥过弱、SSL/TLS RC4 信息泄露漏洞(CVE-2013-2566)、服务器支持 TLS Client-initiated 重协商攻击(CVE-2011-1473) | DI6.2 | SERVER | |
| 6 | DI_6.2_SERVER_20240307_P1 | DI6.2，修复HTTP/2拒绝服务漏洞（CVE-2023-44487）漏洞 | DI6.2 | SERVER | |
| 7 | DI_6.2_SERVER_20240327_P1 | DI6.2，Apache Commons Compress：损坏的转储文件无限循环导致拒绝服务 (CVE-2024-25710)漏洞 | |||
| 8 | DI_7.0_GOVERNOR_20220727_C1 | 解决DI Governor逻辑流com.primeton.dams.monitor.tscjobflowstatusbiz.queryWholeJobList.biz.ext存在SQL注入的风险漏洞 | DI7 | Governor | |
| 9 | DI_7.0_SERVER_20230421_P1 | 修复 Eclipse Jetty 缓冲区错误漏洞(CVE-2009-5047） | DI7 | SERVER | 3rd |
| 10 | 3RD_SECURITY_20230608_C1 | DI7,修复Spring Security身份认证绕过漏洞（CVE-2022-22978） | DI7 | DI Governor | 3rd |
| 11 | DI_7.0_GOVERNOR_202300704_P1 | DI7，修复Spring Boot Actuator未授权访问漏洞 | DI7 | DI Governor | |
| 12 | 方案： 1、停止DIGovernor。 2、注释掉应用下的 Primeton_DI_7.0.0_Governor\apache-tomcat-8.5.42\webapps\dimanager\WEB-INF\_srv\config\eos\handler-processor.xml中的 <handler id="ajaxJavaBeanProcessor" suffix=".java.beanx" sortIdx="0" class="com.primeton.ext.engine.core.processor.BeanCServiceProcessor"/> <handler id="ajaxSpringBeanProcessor" suffix=".spring.beanx" sortIdx="0" class="com.primeton.spring.processor.SpringCServiceProcessor"/> 3、若已启动过DIGovernor，需要额外注释掉外置目录下的 Primeton_DI_7.0.0_Governor\dimanager\config\eos\handler-processor.xml 中的相同配置。 4、重启DIGovernor。 | dimanager存在EOS远程代码执行漏洞。 普元EOS开发框架中默认带有名为"ajaxJavaBeanProcessor"的处理器，此处理器可以使用Java反射机制动态调用任意方法。因此攻击者可通过构造的Payload达成远程代码执行来执行系统命令，控制服务器。 普元EOS远程代码执行漏洞利用难度极低，覆盖大部分主流版本，可以稳定利用。 | DI7 | DI Governor | |
| 13 | 方案： 1、停止DIGovernor。 2、注释掉应用下的 Primeton_DI_6.2.0_Governor\apache-tomcat-7.0.54\webapps\dimanager\WEB-INF\_srv\config\eos\handler-processor.xml中的 <handler id="ajaxJavaBeanProcessor" suffix=".java.beanx" sortIdx="0" class="com.primeton.ext.engine.core.processor.BeanCServiceProcessor"/> <handler id="ajaxSpringBeanProcessor" suffix=".spring.beanx" sortIdx="0" class="com.primeton.spring.processor.SpringCServiceProcessor"/> 3、重启DIGovernor。 | dimanager存在EOS远程代码执行漏洞。 普元EOS开发框架中默认带有名为"ajaxJavaBeanProcessor"的处理器，此处理器可以使用Java反射机制动态调用任意方法。因此攻击者可通过构造的Payload达成远程代码执行来执行系统命令，控制服务器。 普元EOS远程代码执行漏洞利用难度极低，覆盖大部分主流版本，可以稳定利用。 | DI6.2&DI6.2.1 | DI Governor | |
| 14 | DI_7.0_GOVERNOR_20230825_P1 | 修复DI Governor SQL注入与API成批分配漏洞问题 | DI7 | DI Governor | |
| DI_7.0_SERVER_20240327_P1 | DI7，修复Apache Commons Compress：损坏的转储文件无限循环导致拒绝服务 (CVE-2024-25710)漏洞 | DI7 | DI server | ||
| 15 | DI_7.0_SERVER_20240716_C1 | DI7，修复Eclipse Jetty 安全漏洞CVE-2022-2048（高危）；信息泄露漏洞CVE-2021-28169，CVE-2023-26049，资源管理错误漏洞CVE-2023-26048（中危）,Eclipse Jetty 安全漏洞(CVE-2020-27216) | DI7 | DI server | |
| 16 | DI_7.0_SERVER_20250606_P1 | DI7，jobagent 8181/test未授权访问漏洞测试页面移除 | DI7 | DI server | |