每周升级布告-2022-08-03

颁布功夫 2022-08-03

新增事务

 

事务名称：

HTTP_提权攻击_Spring-Data-MongoDB_SpEL表白式注入_号令执行

安全类型：

安全缝隙

事务描述：

SpringDataforMongoDB是SpringData项主张一部门，该项目旨在为新的数据存储提供熟悉和一致的基于Spring的编程模型，同时保留存储的特定特点和职能。6月20日，VMware颁布安全布告，建复了SpringDataMongoDB中的一个SpEL表白式注入缝隙（CVE-2022-22980），该缝隙的CVSSv3评分为8.2。SpringDataMongoDB利用法式在对蕴含查问参数占位符的SpEL表白式使用@Query或@Aggregation注解的查问步骤进行值绑按时，若是输入未被过滤，则容易受到SpEL注入攻击。

更新功夫：

20220803

 

事务名称：

HTTP_文件操作攻击_奇安信天擎_文件上传

安全类型：

安全缝隙

事务描述：

奇安信天擎终端安全治理系统是奇安信的新一代终端安全防御系统。其中存在文件上传缝隙，攻击者能够上传恶意文件至指定目录，获取指标系统权限。

更新功夫：

20220803

 

事务名称：

HTTP_文件操作攻击_泛微OA-Ecology-template-import_文件上传

安全类型：

安全缝隙

事务描述：

泛微是由泛微网络开发的OA系统。其中/api/mobilemode/admin/template/import接口存在缝隙，攻击者可利用该缝隙上传恶意压缩文件，植入webshell，获取指标系统权限。

更新功夫：

20220803

 

事务名称：

HTTP_文件操作攻击_泛微OA-Ecology_app-import_文件上传

安全类型：

安全缝隙

事务描述：

泛微是由泛微网络开发的OA系统。其中/api/mobilemode/admin/app/import接口存在肆意文件上传缝隙，攻击者可利用该缝隙上传恶意压缩文件，植入webshell，获取指标系统权限。

更新功夫：

20220803

 

事务名称：

HTTP_文件操作攻击_泛微OA-Ecology-skin-import_文件上传

安全类型：

安全缝隙

事务描述：

泛微是由泛微网络开发的OA系统。其中/api/mobilemode/admin/template/import接口存在缝隙，攻击者可利用该缝隙上传恶意压缩文件，植入webshell，获取指标系统权限。

更新功夫：

20220803

 

事务名称：

TCP_提权攻击_Apache-Commons-Configuration_代码执行[CVE-2022-33980][CNNVD-202207-428]

安全类型：

安全缝隙

事务描述：

ApacheCommonsConfiguration是用于治理配置文件的组件，在2.8以前的部门版本中支持了多种变量取值方式，蕴含javax.script、dns和url，导致能够执行肆意代码或进行网络接见。

更新功夫：

20220803

 

批改事务

 

事务名称：

HTTP_提权攻击_Apache_Shiro_v1.7.1以下_非授权接见[CVE-2020-17523][CNNVD-202102-238]

安全类型：

安全缝隙

事务描述：

ApacheShiro是一个壮大且易用的Java安全框架，它能够用来执行身份验证、授权、密码和会话治理。目前常见集成于各类利用中进行身份验证，授权等。对于ApacheShiro1.7.1之前的版本，当将ApacheShiro与Spring节造器一路使用时，攻击者特造要求可能会导致身份验证绕过。

更新功夫：

20220803


 

事务名称：

HTTP_提权攻击_Elasticsearch_未授权接见

安全类型：

安全缝隙

事务描述：

ElasticSearch是一个基于Lucene的搜索服务器。它提供了一个散布式多用户能力的全文搜索引擎，基于RESTfulweb接口。Elasticsearch可能存在未授权接见缝隙。该缝隙导致，攻击者能够占有Elasticsearch的所有权限�Ｄ芄欢允萁兴烈獠僮�。业务系统将面对敏感数据泄露、数据迷失、数据遭到粉碎甚至遭到攻击者的勒索。

更新功夫：

20220803