每周升级通告-2022-08-03

宣布时间 2022-08-03

新增事务

 

事务名称：

HTTP_提权攻击_Spring-Data-MongoDB_SpEL表达式注入_下令执行

清静类型：

清静误差

事务形貌：

SpringDataforMongoDB是SpringData项目的一部分， ， ，，该项目旨在为新的数据存储提供熟悉和一致的基于Spring的编程模子， ， ，，同时保存存储的特定特征和功效。。。。。。 。6月20日， ， ，，VMware宣布清静通告， ， ，，修复了SpringDataMongoDB中的一个SpEL表达式注入误差（CVE-2022-22980）， ， ，，该误差的CVSSv3评分为8.2。。。。。。 。SpringDataMongoDB应用程序在对包括盘问参数占位符的SpEL表达式使用@Query或@Aggregation注解的盘问要领举行值绑准时， ， ，，若是输入未被过滤， ， ，，则容易受到SpEL注入攻击。。。。。。 。

更新时间：

20220803

 

事务名称：

HTTP_文件操作攻击_奇安信天擎_文件上传

清静类型：

清静误差

事务形貌：

奇安信天擎终端清静治理系统是奇安信的新一代终端清静防御系统。。。。。。 。其中保存文件上传误差， ， ，，攻击者可以上传恶意文件至指定目录， ， ，，获取目的系统权限。。。。。。 。

更新时间：

20220803

 

事务名称：

HTTP_文件操作攻击_泛微OA-Ecology-template-import_文件上传

清静类型：

清静误差

事务形貌：

泛微是由泛微网络开发的OA系统。。。。。。 。其中/api/mobilemode/admin/template/import接口保存误差， ， ，，攻击者可使用该误差上传恶意压缩文件， ， ，，植入webshell， ， ，，获取目的系统权限。。。。。。 。

更新时间：

20220803

 

事务名称：

HTTP_文件操作攻击_泛微OA-Ecology_app-import_文件上传

清静类型：

清静误差

事务形貌：

泛微是由泛微网络开发的OA系统。。。。。。 。其中/api/mobilemode/admin/app/import接口保存恣意文件上传误差， ， ，，攻击者可使用该误差上传恶意压缩文件， ， ，，植入webshell， ， ，，获取目的系统权限。。。。。。 。

更新时间：

20220803

 

事务名称：

HTTP_文件操作攻击_泛微OA-Ecology-skin-import_文件上传

清静类型：

清静误差

事务形貌：

泛微是由泛微网络开发的OA系统。。。。。。 。其中/api/mobilemode/admin/template/import接口保存误差， ， ，，攻击者可使用该误差上传恶意压缩文件， ， ，，植入webshell， ， ，，获取目的系统权限。。。。。。 。

更新时间：

20220803

 

事务名称：

TCP_提权攻击_Apache-Commons-Configuration_代码执行[CVE-2022-33980][CNNVD-202207-428]

清静类型：

清静误差

事务形貌：

ApacheCommonsConfiguration是用于治理设置文件的组件， ， ，，在2.8以前的部分版本中支持了多种变量取值方法， ， ，，包括javax.script、dns和url， ， ，，导致可以执行恣意代码或举行网络会见。。。。。。 。

更新时间：

20220803

 

修改事务

 

事务名称：

HTTP_提权攻击_Apache_Shiro_v1.7.1以下_非授权会见[CVE-2020-17523][CNNVD-202102-238]

清静类型：

清静误差

事务形貌：

ApacheShiro是一个强盛且易用的Java清静框架， ， ，，它可以用来执行身份验证、授权、密码和会话治理。。。。。。 。现在常见集成于种种应用中举行身份验证， ， ，，授权等。。。。。。 。关于ApacheShiro1.7.1之前的版本， ， ，，当将ApacheShiro与Spring控制器一起使用时， ， ，，攻击者特制请求可能会导致身份验证绕过。。。。。。 。

更新时间：

20220803


 

事务名称：

HTTP_提权攻击_Elasticsearch_未授权会见

清静类型：

清静误差

事务形貌：

ElasticSearch是一个基于Lucene的搜索效劳器。。。。。。 。它提供了一个漫衍式多用户能力的全文搜索引擎， ， ，，基于RESTfulweb接口。。。。。。 。Elasticsearch可能保存未授权会见误差。。。。。。 。该误差导致， ， ，，攻击者可以拥有Elasticsearch的所有权限。。。。。。 �？？？？？？？梢远允菥傩许б獠僮�。。。。。。 。营业系统将面临敏感数据泄露、数据丧失、数据遭到破损甚至遭到攻击者的勒索。。。。。。 。

更新时间：

20220803