Hyland Alfresco Transformation Service 参数注入导致远程代码执行 (Argument Injection RCE)

攻击者利用此 RCE 漏洞可以完全控制受影响的 Alfresco Transformation Service 实例。他们可以执行任意代码，窃取敏感数据，例如文档内容、用户凭据和配置信息。此外，攻击者还可以利用此漏洞进行横向移动，攻击内部网络中的其他系统。由于该漏洞无需身份验证，因此攻击面非常广，可能导致大规模数据泄露和系统破坏。该漏洞的严重程度与 Log4Shell 类似，可能引发广泛的安全事件。

Organizations utilizing Alfresco Transformation Service in production environments, particularly those with exposed document processing endpoints, are at significant risk. Environments with weak access controls or inadequate input validation are especially vulnerable. Shared hosting environments where multiple users share the same Alfresco instance are also at increased risk.

• java / server:

ps -ef | grep TransformationService

• java / server:

journalctl -u TransformationService | grep -i "argument injection"

• generic web:

curl -I <alfresco_transformation_service_url>/processDocument

• generic web:

 grep -i "argument injection" /var/log/apache2/access.log

1. 2026-02-19Disclosure

   disclosure

1. 已保留2026-02-13
2. 发布日期2026-02-19
3. 修改日期2026-02-20
4. EPSS 更新日期2026-03-23

最有效的缓解措施是立即将 Alfresco Transformation Service 升级至 5.2.4 版本或更高版本。如果升级不可行，可以考虑以下临时缓解措施：限制对文档处理功能的访问，实施严格的输入验证，并使用 Web 应用防火墙 (WAF) 过滤恶意请求。此外，监控系统日志，查找异常活动，并配置入侵检测系统 (IDS) 以检测潜在的攻击。升级后，请验证服务是否正常运行，并确认漏洞已成功修复。