億格云上報Apache高危漏洞 已獲官方確認并修復

騰訊云安全運營中心監測到，Apache Log4j2 官方發布公告提示其在某些特殊場景下存在遠程代碼執行漏洞，漏洞編號CVE-2021-44832。該漏洞僅在攻擊者擁有修改配置文件權限時才可遠程執行任意代碼，漏洞利用難度較大。 為避免您的業務受影響，騰訊云安全建議您及時開展安全自查，如在受影響范圍，請您及時進行更新修復，避免被外部攻擊者入侵。

騰訊云安全運營中心監測到， Apache APISIX官方發布安全通告，披露了Apache APISIX Dashboard存在未授權漏洞，漏洞編號CVE-2021-45232。可導致未授權訪問等危害。 為避免您的業務受影響，騰訊云安全建議您及時開展安全自查，如在受影響范圍，請您及時進行更新修復，避免被外部攻擊者入侵。

近日，Apache Druid官方發布安全更新，修復了由阿里云安全發現的CVE-2021-25646 Apache Druid 遠程代碼執行漏洞。01漏洞描述 Apache Druid 是用Java編寫的面向列的開源分布式數據存儲，旨在快速獲取大量事件數據，并在數據之上提供低延遲查詢。由于Apache Druid 默認情況下缺乏授權認證，攻擊者可直接構造惡意請求執行任意代碼，控制服務器。阿里云應急響應中心提醒 Apache Druid 用戶盡快采取安全措施阻止漏洞攻擊。

2022年5月4日，Apache發布安全公告，修復了一個 Apache Jena中的XML外部實體注入漏洞。漏洞編號：CVE-2022-28890，漏洞威脅等級：中危。

2022年4月26日，Apache發布安全公告，修復了一個 Apache CouchDB中的遠程權限提升漏洞。漏洞編號：CVE-2022-24706，漏洞威脅等級：高危，漏洞評分：7.5。

騰訊云容器安全服務團隊通過犀引擎發現較多鏡像受ApacheLog4j2遠程代碼執行漏洞影響，存在較高風險！為助力全網客戶快速修復漏洞，免費向用戶提供試用，登錄控制臺（https://console.cloud.tencent.com/tcss）即可快速體驗。

2021年12月10日，國家信息安全漏洞共享平臺（CNVD）收錄了Apache Log4j2遠程代碼執行漏洞（CNVD-2021-95914）。攻擊者利用該漏洞，可在未授權的情況下遠程執行代碼。

4月13日，騰訊安全發布Apache Solr 多個高危安全漏洞的風險通告，其中編號為CVE-2021-27905的服務器端請求偽造漏洞為高危嚴重級別，攻擊者可以傳遞特定參數，使服務端發起請求，成功利用該漏洞可造成內網信息探測。目前，該漏洞的利用POC已被公開，騰訊安全專家提醒用戶盡快升級修復。在中國大陸地區，浙江、北京、上海、廣東四省市位居前列，占比超過82%。

2022年4月20日，Apache發布安全公告，修復了一個 Apache APISIX中的信息泄露漏洞。漏洞編號： CVE-2022-29266，漏洞威脅等級：嚴重。

2022年4月12日，Apache發布安全公告，修復了一個Apache Struts2 中的遠程代碼執行漏洞。漏洞編號：CVE-2021-31805，漏洞威脅等級：高危，漏洞評分：8.5。