台湾鼎新电脑声明：面临Java反序列化漏洞有1,800家企业，已协助85％客户连线修补漏洞

台湾知名软件业者鼎新电脑，从去年3月开始被中国漏洞通报平台乌云（WooYun）有与该公司ERP产品整合度高的工作签核产品EasyFlow GP，因为采用Java开发，遇到中介层产品的漏洞，加上普遍放在公司外网，使得使用相关产品的企业也面临骇客入侵或被骇客远端操控的风险。但鼎新电脑直到7月才成立漏洞专案小组提供顾客修补漏洞，超过1800家使用该产品的企业，除了1成企业能自行修补外，其余超过8成企业，至少长达4个月期间，签核系统暴露在高风险中。 

鼎新电脑研发处副总裁胡兴耀表示，从去年7月开始，该公司已经针对Java开发的产品，包括EasyFlow GP在内进行可能面临的产品漏洞成立专案小组，经清查，有1,800家企业用户使用包括EasyFlow GP在内的Java开发相关产品，到目前已经取得85％的客户同意，由鼎新电脑同仁连线协助处理，10％的企业用户决定自行处理，另外仍有5％的企业用户，因为窗口异动或是公司整并，也可能是停业等因素，无法取得相关联系。在今年2月后，也再度启动第二波客户盘点。他强调，就算客户没有持续签订维护合约，仍会协助进行相关漏洞修补。

85％的客户已经完成漏洞修补，目前启动第二波的清查动作

胡兴耀表示，从去年7月成立专案小组以来，经过盘点，该公司使用Java开发的企业用户产品，包括：大部分放在外网的工作签核产品EasyFlow GP及企业入口网站EIP，以及主要放在内网为主的厂区生产追踪系统（Shop Floor Tracking，SFT）、在制品管制系统 （Work In Process Tracking , WIP）和eKB电子看板等5大产品，大概有1,800多家企业采用。

乌云揭露的Java反序列化漏洞其实是中介层JBoss的漏洞，对企业带来的风险包括：骇客可以做到执行任何一项指令外，也可以任意添加管理员账号，同样会影响其他台主机的安全性，并可以让服务器取得执行系统指令权限（getshell）等等。

胡兴耀指出，JBoss原厂已经进行修复的前提下，鼎新电脑相关客服与技术人员，在与客户联系修补相关产品漏洞时，因为这次的漏洞修补只需要关掉原厂原本预设开放的通道，并不涉及企业内部的机敏资料或相关的产品设定，“顶多只要停机10分钟左右就可以完成漏洞修补。”他说，所以，目前已经有85％的企业用户同意，由鼎新电脑提供协助修补漏洞，另外有10％客户决定自己修补漏洞，还有5％的客户处于失联状态，正在进行第二波的清查。”

目前鼎新电脑客户全部有5万多家，鼎新电脑行业经营中心业务支援部顾问总监许权玺认为，因为使用Java开发产品而有可能面临Java反序列化漏洞的企业用户仍属少数，而在和客户联系的过程中，多数企业也都意识到，这是属于中介厂商造成的产品漏洞，除了少数觉得该公司已经有很好的防护措施，决定自行处理外，企业针对相关漏洞修补的配合度很高；再加上，JBoss后续也修补漏洞，而在去年7月后鼎新电脑工作签核流程推出的新版产品，也都已经关闭会造成资安漏洞的预设管道，产品也相对安全。

在联系客户的过程中，胡兴耀表示，该公司会提供给要自行修补相关漏洞的企业，包括鼎新电脑自行开发的漏洞修补工具以及操作影片，希望可以做到主动协助企业用户修补漏洞。

不过，他也指出，关于这些预计自行修补，或者是一些刚好要升级主机而延后修补的企业，在联系过程中也发现，有部分企业以为已经完成修补，但鼎新电脑连线检查时却仍发现，常见有些企业目前没有使用却未下线的系统，便可能成为企业遭骇的潜在风险。所以，他说：“目前鼎新电脑也正在开发验证工具，将会提供给决定自行修补漏洞的企业，希望这些企业可以回传检验结果给鼎新电脑，确认漏洞已经修补完毕。”

有些人担心，鼎新电脑会因为没有签订后续的维护合约，而不愿意协助相关产品的漏洞修补。胡兴耀强调：“对鼎新电脑的客户而言，只要是该公司产品出现资安漏洞，不论企业用户是否有签订维护合约，都会协助企业进行产品漏洞修补。”毕竟，他认为，企业用户可以在不升级产品下使用旧版产品功能，却不能使用会对企业带来风险的不安全产品。