每周升级布告-2022-08-03

颁布功夫 2022-08-03

新增事务

 

事务名称：

HTTP_提权攻击_Spring-Data-MongoDB_SpEL表白式注入_号令执行

安全类型：

安全缝隙

事务描述：

SpringDataforMongoDB是SpringData项主张一部门，，该项目旨在为新的数据存储提供熟悉和一致的基于Spring的编程模型，，同时保留存储的特定特点和职能。�！！�6月20日，，VMware颁布安全布告，，修复了SpringDataMongoDB中的一个SpEL表白式注入缝隙（CVE-2022-22980），，该缝隙的CVSSv3评分为8.2。�！！pringDataMongoDB利用法式在对蕴含查问参数占位符的SpEL表白式使用@Query或@Aggregation注解的查问步骤进行值绑按时，，若是输入未被过滤，，则容易受到SpEL注入攻击。�！！�

更新功夫：

20220803

 

事务名称：

HTTP_文件操作攻击_奇安信天擎_文件上传

安全类型：

安全缝隙

事务描述：

奇安信天擎终端安全治理系统是奇安信的新一代终端安全防御系统。�！！Ｆ渲写嬖谖募洗煜�，，攻击者能够上传恶意文件至指定目录，，获取指标系统权限。�！！�

更新功夫：

20220803

 

事务名称：

HTTP_文件操作攻击_泛微OA-Ecology-template-import_文件上传

安全类型：

安全缝隙

事务描述：

泛微是由泛微网络开发的OA系统。�！！Ｆ渲�/api/mobilemode/admin/template/import接口存在缝隙，，攻击者可利用该缝隙上传恶意压缩文件，，植入webshell，，获取指标系统权限。�！！�

更新功夫：

20220803

 

事务名称：

HTTP_文件操作攻击_泛微OA-Ecology_app-import_文件上传

安全类型：

安全缝隙

事务描述：

泛微是由泛微网络开发的OA系统。�！！Ｆ渲�/api/mobilemode/admin/app/import接口存在肆意文件上传缝隙，，攻击者可利用该缝隙上传恶意压缩文件，，植入webshell，，获取指标系统权限。�！！�

更新功夫：

20220803

 

事务名称：

HTTP_文件操作攻击_泛微OA-Ecology-skin-import_文件上传

安全类型：

安全缝隙

事务描述：

泛微是由泛微网络开发的OA系统。�！！Ｆ渲�/api/mobilemode/admin/template/import接口存在缝隙，，攻击者可利用该缝隙上传恶意压缩文件，，植入webshell，，获取指标系统权限。�！！�

更新功夫：

20220803

 

事务名称：

TCP_提权攻击_Apache-Commons-Configuration_代码执行[CVE-2022-33980][CNNVD-202207-428]

安全类型：

安全缝隙

事务描述：

ApacheCommonsConfiguration是用于治理配置文件的组件，，在2.8以前的部门版本中支持了多种变量取值方式，，蕴含javax.script、、、dns和url，，导致能够执行肆意代码或进行网络接见。�！！�

更新功夫：

20220803

 

批改事务

 

事务名称：

HTTP_提权攻击_Apache_Shiro_v1.7.1以下_非授权接见[CVE-2020-17523][CNNVD-202102-238]

安全类型：

安全缝隙

事务描述：

ApacheShiro是一个壮大且易用的Java安全框架，，它能够用来执行身份验证、、、授权、、、密码和会话治理。�！！Ｄ壳俺＜捎诟骼嗬弥薪猩矸菅橹�，，授权等。�！！６杂贏pacheShiro1.7.1之前的版本，，当将ApacheShiro与Spring节制器一路使用时，，攻击者特制要求可能会导致身份验证绕过。�！！�

更新功夫：

20220803


 

事务名称：

HTTP_提权攻击_Elasticsearch_未授权接见

安全类型：

安全缝隙

事务描述：

ElasticSearch是一个基于Lucene的搜索服务器。�！！Ｋ峁┝艘桓錾⒉际蕉嘤没芰Φ娜乃阉饕�，，基于RESTfulweb接口。�！！lasticsearch可能存在未授权接见缝隙。�！！８梅煜兜贾�，，攻击者能够占有Elasticsearch的所有权限。�！！Ｄ芄欢允萁兴烈獠僮�。�！！Ｒ滴裣低辰娑悦舾惺菪孤�、、、数据迷失、、、数据遭到粉碎甚至遭到攻击者的勒索。�！！�

更新功夫：

20220803