騰訊安全威脅情報中心推出2023年10月必修安全漏洞清單

騰訊安全威脅情報中心推出2023年10月份必修安全漏洞清單，所謂必修漏洞，就是運維人員必須修復、不可拖延、影響范圍較廣的漏洞，被黑客利用并發生入侵事件后，會造成十分嚴重的后果。

騰訊安全威脅情報中心參考“安全漏洞的危害及影響力、漏洞技術細節披露情況、該漏洞在安全技術社區的討論熱度”等因素，綜合評估該漏洞在攻防實戰場景的風險。當漏洞綜合評估為風險嚴重、影響面較廣、技術細節已披露，且被安全社區高度關注時，就將該漏洞列入必修安全漏洞候選清單。

騰訊安全威脅情報中心定期發布安全漏洞必修清單，以此指引政企客戶安全運維人員修復漏洞，從而避免重大損失。

以下是2023年10月份必修安全漏洞清單詳情：

一、Atlassian Confluence Data Center & Server 權限提升漏洞（CVE-2023-22515）

概述：

騰訊安全近期監測到Atlassian 官方發布了關于Confluence Data Center & Server的風險公告，漏洞編號為CVE-2023-22515 (CNNVD編號: CNNVD-202310-278)。成功利用此漏洞的攻擊者，可以創建Confluence管理員帳戶并訪問 Confluence 實例。攻擊者利用此漏洞進入后臺之后，可以結合其他攻擊利用方式遠程執行任意命令。

Atlassian Confluence Data Center & Server 是 Atlassian 公司提供的一款企業級團隊協作和知識管理軟件。它旨在幫助團隊協同工作、共享知識、記錄文檔和協作編輯等。

據描述，該漏洞由Confluence Data Center & Server 中的/setup端點的訪問控制不當造成。通過利用此漏洞，攻擊者可以獲得 Confluence 實例的管理員訪問權限。

漏洞狀態：

風險等級：

影響版本：

8.0.0 <= Confluence Data Center & Server < 8.3.3

8.4.0 <= Confluence Data Center & Server < 8.4.3

8.5.0 <= Confluence Data Center & Server < 8.5.2

修復建議：

1. 通過阻止對 Confluence 實例上的 /setup/* 端點的訪問來緩解,參考: 

https://confluence.atlassian.com/security/cve-2023-22515-privilege-escalation-vulnerability-in-confluence-data-center-and-server-1295682276.html

2. Atlassian Cloud不受此漏洞的影響，如果Confluence 站點是通過 atlassian.net 域訪問的，則該站點由 Atlassian 托管，不受此漏洞影響。

3. 官方已發布漏洞補丁及修復版本，請評估業務是否受影響后，酌情升級至安全版本。

【備注】：建議您在升級前做好數據備份工作，避免出現意外。

https://confluence.atlassian.com/security/cve-2023-22515-broken-access-control-vulnerability-in-confluence-data-center-and-server-1295682276.html

二、Atlassian Confluence Data Center & Server 權限繞過漏洞（CVE-2023-22518）

概述：

騰訊安全近期監測到Atlassian 官方發布了關于Confluence Data Center & Server的風險公告，漏洞編號為CVE-2023-22518 (CNNVD編號: CNNVD-202310-2667)。成功利用此漏洞的攻擊者進入后臺之后，可以結合其他攻擊利用方式遠程執行任意命令。

P.S. 注意！該漏洞利用可能會導致Confluence原數據丟失，造成嚴重的數據破壞。

據描述，該漏洞源于Confluence Data Center & Server子組件Struts2繼承關系處理不當，攻擊者可利用/json/setup-restore.action接口，通過數據備份恢復的方式覆蓋已有數據（包含后臺密碼），最后使用自定義的密碼登錄后臺。

漏洞狀態：

風險等級：

影響版本：

1.0.0 <= Confluence Data Center & Server < 7.19.16

7.20.0 <= Confluence Data Center & Server < 8.3.4

8.4.0 <= Confluence Data Center & Server < 8.4.4

8.5.0 <= Confluence Data Center & Server < 8.5.3

8.6.0 <= Confluence Data Center & Server < 8.6.1

修復建議：

1. 備份實例,參考：

https://confluence.atlassian.com/doc/production-backup-strategy-38797389.html

2. 限制可訪問公共互聯網的實例（包括具有用戶身份驗證的實例）的外部網絡訪問權限。

3. 阻止對 Confluence 實例上以下端點的訪問：

/json/setup-restore.action

/json/setup-restore-local.action

/json/setup-restore-progress.action

4. 官方已發布漏洞補丁及修復版本，請評估業務是否受影響后，酌情升級至安全版本。

【備注】：建議您在升級前做好數據備份工作，避免出現意外。

https://confluence.atlassian.com/security/cve-2023-22518-improper-authorization-vulnerability-in-confluence-data-center-and-server-1311473907.html

三、Apache ActiveMQ遠程代碼執行漏洞

概述：

騰訊安全近期監測到Apache 官方發布了關于ActiveMQ的風險公告，漏洞編號為CVE-2023-46604 (CNNVD編號: CNNVD-202310-2332)。成功利用此漏洞的攻擊者，最終可遠程在目標系統上執行任意代碼。

ActiveMQ是一個開源的、跨語言的消息中間件，它實現了JMS（Java消息服務）規范，支持多種協議和編程語言，包括Java、C、C++、Python、Ruby等。ActiveMQ提供了可靠的、高性能的消息傳遞機制，支持點對點和發布-訂閱模式，可以實現異步通信、解耦、負載均衡等功能，被廣泛應用于企業級應用系統中。

據描述，由于ActiveMQ安裝啟動后默認開放61613、61614、61616端口，且TcpTransport函數未對數據進行必要的檢查，當攻擊者可訪問Apache ActiveMQ的61616端口時可通過構造惡意數據包加載外部XML文件的方式，進行遠程代碼執行，從而完全控制Apache ActiveMQ服務器。

漏洞狀態：

風險等級：

影響版本：

Apache ActiveMQ < 5.15.16

5.16.0 <= Apache ActiveMQ < 5.16.7

5.17.0 <= Apache ActiveMQ < 5.17.6

5.18.0 <= Apache ActiveMQ < 5.18.3

修復建議：

1. 嚴格限制Apache ActiveMQ服務端口(默認61616，且是默認監聽0.0.0.0)的訪問權限，不對公網開放。

2. 在確認不影響業務的情況下，可以臨時禁止Apache ActiveMQ服務器出網。

3. 官方已發布漏洞補丁及修復版本，請評估業務是否受影響后，酌情升級至安全版本。

【備注】：建議您在升級前做好數據備份工作，避免出現意外。

https://github.com/apache/activemq/tags

四、 F5 BIG-IP 遠程代碼執行漏洞

概述：

騰訊安全近期監測到F5 官方發布了關于F5 BIG-IP的風險公告，漏洞編號為CVE-2023-46747 (CNNVD編號: CNNVD-202310-2269)。成功利用此漏洞的攻擊者，最終可遠程在目標系統上執行任意代碼。

F5-BIG IP是一款高性能、可擴展的應用交付控制器，它可以提供應用負載均衡、應用安全、應用加速、應用智能等一系列功能，幫助企業實現高可用性、高性能的應用交付。F5-BIG IP支持多種應用協議，如HTTP、HTTPS、TCP、UDP等，可以通過多種負載均衡算法實現流量分發，支持會話保持、健康檢查等功能，可以有效地提升應用的可用性和性能。同時，F5-BIG IP還提供了多種應用安全功能，如DDoS防護、Web應用防火墻、SSL VPN等，可以保護企業應用不受攻擊和惡意訪問。F5-BIG IP還提供了靈活的管理和監控功能，可以幫助企業實現應用的可視化管理和實時監控。

據描述，該漏洞源于F5 BIG-IP中的Apache HTTP受請求走私影響，攻擊者可以通過AJP請求走私進行權限繞過并添加管理員賬戶，最終在流量管理用戶界面（TMUI）執行任意代碼。

漏洞狀態：

風險等級：

影響版本：

13.1.0 <= BIG-IP <= 13.1.5

14.1.0 <= BIG-IP <= 14.1.5

15.1.0 <= BIG-IP <= 15.1.10

16.1.0 <= BIG-IP <= 16.1.4

17.1.0 <= BIG-IP <= 17.1.1

修復建議：

1. 可以通過執行官方的腳本進行緩解，具體參考: https://my.f5.com/manage/s/article/K000137353

2. 阻止通過自身 IP 地址訪問配置實用程序。

3. 通過管理界面阻止配置實用程序訪問。

4. 官方已發布漏洞補丁及修復版本，請評估業務是否受影響后，酌情升級至安全版本。

【備注】：建議您在升級前做好數據備份工作，避免出現意外。

https://my.f5.com/manage/s/article/K000137353

五、curl socks5 堆緩沖區溢出漏洞

概述：

騰訊安全近期監測到curl官方發布了關于curl的風險公告，漏洞編號為CVE-2023-38545 (CNNVD編號: CNNVD-202310-2269)。成功利用此漏洞的攻擊者，最終可導致目標服務器緩沖區溢出，甚至在目標系統上執行任意命令。

curl是一個跨平臺的開源網絡工具，支持多種協議（如HTTP、FTP、SMTP等）和數據傳輸方式，可以通過命令行或代碼進行使用。curl提供了豐富的功能和選項，包括數據傳輸、文件上傳、下載、代理支持、cookie管理、SSL/TLS加密等，可以滿足各種網絡傳輸需求。

據描述，當 curl使用 SOCKS5 代理解析地址時，主機名的最大長度為 255 字節。如果檢測到主機名超過255字節，Curl將切換到本地主機解析地址，并將解析后的地址傳遞給代理。curl在建立延遲較高的SOCKS5 鏈接過程中，主機解析地址可能會獲取錯誤的值，將過長的主機名復制到緩沖區中，造成緩沖區溢出。

漏洞狀態：

風險等級：

影響版本：

7.69.0 <= libcurl < 8.4.0

修復建議：

1. 如不方便升級版本，可通過如下緩解措施避免被攻擊：

- 不要將CURLPROXY_SOCKS5_HOSTNAME代理與curl一起使用

- 不要將代理環境變量設置為socks5h://

2. 官方已發布漏洞補丁及修復版本，請評估業務是否受影響后，酌情升級至安全版本。

【備注】：建議您在升級前做好數據備份工作，避免出現意外。

- 固定版本獲取鏈接參考：

https://curl.se/download.html

- 舊版本的補丁集合參考鏈接：

https://curl.se/docs/CVE-2023-38545_patches.zip

六、HTTP/2 協議拒絕服務漏洞

概述：

騰訊安全近期監測到Apache官方發布了關于HTTP/2的風險公告，漏洞編號為CVE-2023-44487 (CNNVD編號: CNNVD-202310-667)。成功利用此漏洞的攻擊者，最終可導致目標拒絕服務。

HTTP/2是HTTP協議的最新版本，它是HTTP/1.1的升級版，旨在提高Web應用的性能和安全性。HTTP/2采用二進制協議，支持多路復用，可以在一個TCP連接上同時傳輸多個請求和響應，避免了HTTP/1.1中的隊頭阻塞問題，提高了網絡傳輸的效率。HTTP/2還支持頭部壓縮、服務器推送等新特性，可以減少網絡傳輸的數據量和延遲，提高了Web應用的性能。同時，HTTP/2還提供了更加安全的傳輸方式，支持TLS加密和服務器證書驗證，可以保護Web應用的安全性。

據描述，該漏洞源于HTTP/2 協議的Rapid Reset存在缺陷，攻擊者可以在 HTTP/2 協議中創建新的多路復用流，然后立即發送取消流(RST_STREAM)，導致服務器不斷分配資源處理流的創建和取消請求，最終資源耗盡導致拒絕服務。

漏洞狀態：

風險等級：

影響版本：

很多Web通信軟件如Web服務器會實現HTTP/2協議，下面是部分受影響的產品及版本：

nghttp2 < 1.57.0

Netty < 4.1.100

1.21.0 <= Golang < 1.21.3

Golang < 1.20.10

8.5.0 <= Apache Tomcat <= 8.5.93

9.0.0 <= Apache Tomcat <= 9.0.80

10.1.0 <= Apache Tomcat <= 10.1.13

11.0.0-M1 <= Apache Tomcat <= 11.0.0-M11

grpc-go < 1.56.3

grpc-go 1.57.0

1.58.0 <= grpc-go < 1.58.3

jetty < 9.4.53

10.0.0 <= jetty < 10.0.17

11.0.0 <= jetty < 11.0.17

12.0.0 <= jetty < 12.0.2

修復建議：

1. 如無需使用HTTP/2協議，可以關閉HTTP/2協議，降級到HTTP/1.1。

2. 如無需要，可避免將應用完全暴露至公網。

3. 官方已發布漏洞補丁及修復版本，請評估業務是否受影響后，酌情升級至安全版本。

【備注】：建議您在升級前做好數據備份工作，避免出現意外。

(1) Netty：

參考鏈接：https://github.com/netty/netty/releases/tag/netty-4.1.100.Final

(2) Golang：

參考鏈接：https://github.com/golang/go/tags

(3) Apache Tomcat：

參考鏈接：https://tomcat.apache.org/security-11.html#Fixed_in_Apache_Tomcat_11.0.0-M12

參考鏈接：https://tomcat.apache.org/security-10.html#Fixed_in_Apache_Tomcat_10.1.14

參考鏈接：https://tomcat.apache.org/security-9.html#Fixed_in_Apache_Tomcat_9.0.81

參考鏈接：https://tomcat.apache.org/security-8.html#Fixed_in_Apache_Tomcat_8.5.94

(4) grpc-go：

參考鏈接：https://github.com/grpc/grpc-go/releases

(5) jetty：

參考鏈接：https://github.com/eclipse/jetty.project/releases

(6) nghttp2：

參考鏈接：https://github.com/nghttp2/nghttp2/releases

七、Weblogic 遠程代碼執行漏洞

概述：

騰訊安全近期監測到Oracle官方發布了關于Weblogic的風險公告，漏洞編號為CVE-2023-22089 / CVE-2023-22072(CNNVD: CNNVD-202310-1398/ CNNVD-202310-1381)。成功利用漏洞的攻擊者，最終可遠程在目標系統上執行任意代碼。

WebLogic是一種企業級Java應用服務器，由Oracle公司開發和維護。它提供了一種可靠、高效的平臺，用于構建和部署分布式應用程序、Web服務和企業級應用。WebLogic具有先進的管理和監控功能，支持多種編程語言和標準，包括Java EE、SOAP、REST、XML、JMS和JDBC等。它還提供了高可用性、可伸縮性和安全性，使得企業能夠快速響應業務需求，并且保持業務穩定和安全。

據描述，該漏洞源于Weblogic存在代碼缺陷，攻擊者可以將特制的請求通過T3/IIOP協議發送至目標服務器，最終遠程執行任意代碼，獲取服務器權限。

漏洞狀態：

風險等級：

影響版本：

CVE-2023-22089:

WebLogic Server 12.2.1.4.0

WebLogic Server 14.1.1.0.0

CVE-2023-22072:

WebLogic Server 12.2.1.3.0

修復建議：

1. 禁用T3協議，登錄weblogic后臺頁面，在base_domain的配置頁面中，進入“安全”選項卡頁面，點擊“篩選器”，進入連接篩選器配置。在連接篩選器中輸入：WebLogic.security.net.ConnectionFilterImpl，參考以下寫法，在連接篩選器規則中進行配置：

127.0.0.1 * * allow t3 t3s

* * * deny t3 t3s

2. 禁用IIOP協議，登錄weblogic后臺頁面，在左側菜單頁中點擊 環境->服務器->AdminServer->協議->IIOP，取消勾選“啟動IIOP”。

3. 官方已發布漏洞補丁及修復版本，請評估業務是否受影響后，酌情升級至安全版本。

【備注】：建議您在升級前做好數據備份工作，避免出現意外。

https://www.oracle.com/security-alerts/cpuoct2023.html

八、Cisco IOS XE WEB UI未授權創建管理員漏洞

概述：

騰訊安全近期監測到Cisco官方發布了關于Cisco IOS XE WEB UI的風險公告，漏洞編號為CVE-2023-20198 (CNNVD: CNNVD-202310-1209)。成功利用漏洞的攻擊者，最終可遠程創建管理員用戶。

Cisco IOS XE是思科公司推出的一款基于Linux的網絡操作系統，用于運行Cisco路由器和交換機等網絡設備。它采用了現代化的架構，支持多種應用程序和服務，包括路由、交換、安全、流量管理和QoS等。Cisco IOS XE還提供了高可用性、可靠性和安全性，使得企業能夠快速響應業務需求，并且保持業務穩定和安全。同時，它還具有靈活性和可擴展性，可以根據不同的業務需求進行定制和擴展。

Cisco IOS XE Web UI是一種基于GUI的嵌入式系統管理工具，能夠提供系統配置、簡化系統部署和可管理性以及增強用戶體驗。

據描述，該漏洞源于Ciso IOS XE WEB UI使用了nginx+iosd的組合，攻擊者可以通過編碼的方式繞過nginx的匹配機制并訪問到WMSA服務，并通過發送 CLI 命令創建管理員用戶，最終控制服務器。

漏洞狀態：

風險等級：

影響版本：

16.12 <= Cisco IOS XE < 16.12.10a

17.3 <= Cisco IOS XE < 17.3.8a

17.6 <= Cisco IOS XE < 17.6.6a

17.9 <= Cisco IOS XE < 17.9.4a

修復建議：

1. 禁用http服務器功能或設置訪問白名單

2. 官方已發布漏洞補丁及修復版本，請評估業務是否受影響后，酌情升級至安全版本。

【備注】：建議您在升級前做好數據備份工作，避免出現意外。

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-iosxe-webui-privesc-j22SaA4z

* 以上漏洞的修復建議，由安全專家審核并融合了AI生成的建議。

* 漏洞評分為騰訊安全研究人員根據漏洞情況作出，僅供參考，具體漏洞細節請以原廠商或是相關漏洞平臺公示為準。