本次跟进审计针对汇能制造集团财务ERP系统（v8.3.2，SAP兼容部署）执行，系Q1审计（AUDIT-2025-01-001）整改情况的专项复核。审计组共检出11项安全问题，其中严重2项、高危4项、中危5项。较Q1基线报告，新增严重漏洞1项（CVE-2025-18847），涉及API访问控制缺陷。
本次审计范围覆盖：财务凭证录入模块、审批工作流引擎、外部接口网关（API Gateway v3.1）、用户权限配置中心及数据库访问审计日志。重点关注Q1遗留高危项（FIN-0017、FIN-0021）的修复验证情况。
截至报告生成时间（2025-04-07 14:30），已修复8项，修复率72.7%。仍有3项待修复，其中CVE-2025-18847（API越权访问）被列为最高优先级，建议在72小时内完成热修复并重新部署API Gateway配置。
| 编号 | 漏洞描述 | 严重等级 | 状态 | 修复截止 |
|---|---|---|---|---|
| CVE-2025-18847 | API Gateway v3.1 越权访问 — 跨租户财务凭证读取 | 严重 | 待修复 | 2025-04-10 |
| FIN-2025-031 | 审批工作流引擎存在SQL注入风险（参数化查询缺失） | 严重 | 修复中 | 2025-04-12 |
| FIN-2025-028 | 财务凭证附件上传缺少文件类型校验（支持执行文件上传） | 高危 | 待修复 | 2025-04-14 |
| FIN-0021 | Q1遗留：权限配置中心用户组批量导入接口未鉴权 | 高危 | 已修复 | 2025-04-05 ✓ |
| FIN-0017 | Q1遗留：数据库审计日志留存策略未启用（默认7天，应≥90天） | 高危 | 已修复 | 2025-04-03 ✓ |
| FIN-2025-034 | MFA策略例外账号范围过大（22个服务账号豁免多因素认证） | 高危 | 修复中 | 2025-04-15 |
| FIN-2025-022 | 会话令牌有效期过长（默认72小时，建议8小时） | 中危 | 已修复 | 2025-04-04 ✓ |
| FIN-2025-019 | CORS策略配置错误，允许任意来源跨域请求财务数据API | 中危 | 已修复 | 2025-04-06 ✓ |
影响系统：财务ERP API Gateway v3.1（内网地址：172.16.10.45:8443）
漏洞描述：API Gateway的租户隔离中间件（TenantIsolationFilter）在处理跨模块调用时存在路径遍历漏洞。攻击者可通过构造特定的X-Tenant-ID请求头，绕过鉴权层直接读取其他租户的财务凭证记录（/api/v2/vouchers/{id}端点）。漏洞已在渗透测试中验证，成功读取了测试环境中其他业务单元的历史凭证数据。
CVSSv3评分：9.1 (Critical) — AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:N
复现步骤：
修复建议：立即更新TenantIsolationFilter，对X-Tenant-ID进行严格白名单校验，禁止路径遍历字符。同时审查API Gateway访问日志，确认是否存在利用记录。
影响系统：审批工作流引擎 ApprovalEngine v2.7.3（数据库：Oracle 19c）
漏洞描述：工作流引擎的"自定义查询凭证"功能（路径：/workflow/custom-query）未对用户输入执行参数化查询，存在经典SQL注入漏洞。可通过该漏洞读取fin_vouchers表全量数据，或在特定配置下执行DDL操作。
修复状态：开发团队已提交修复补丁（PR #4721），预计2025-04-12完成代码审查并部署至生产环境。
建议在72小时内对API Gateway v3.1完成热修复：更新TenantIsolationFilter，对X-Tenant-ID严格白名单校验，禁止路径遍历字符；同步检查/api/v2/下所有端点的租户隔离逻辑。修复后执行回归测试并留存完整测试报告。
将FIN-2025-034中涉及的22个服务账号MFA豁免范围收缩至最小必要集合（预计可收缩至≤5个技术账号）。对保留豁免的账号实施IP白名单+证书绑定双重补偿控制。
在财务凭证附件上传接口增加服务端文件类型白名单（仅允许.pdf/.xlsx/.jpg/.png），增加文件内容Magic Number校验，拒绝可执行文件上传（.exe/.sh/.bat等）。
在Q1遗留项FIN-0017修复基础上，进一步配置实时告警：当同一账号在10分钟内访问凭证记录超过50条时，自动触发告警并暂停该账号API访问权限，待人工审核后恢复。
建议每季度对财务ERP关键接口（API Gateway、审批工作流、凭证接口）执行外部渗透测试，重点关注越权访问、注入类漏洞及身份鉴权逻辑。测试结果纳入季度安全评分。