騰訊安全威脅情報中心推出11月必修安全漏洞清單

騰訊安全威脅情報中心今天推出2021年11月份必修安全漏洞清單，所謂必修漏洞，就是運維人員必須修復、不可拖延、影響范圍較廣的漏洞，不修復就意味著被黑客攻擊入侵后會造成十分嚴重的后果。

騰訊安全威脅情報中心參考“安全漏洞的危害及影響力、漏洞技術細節披露情況、該漏洞在安全技術社區的討論熱度”等因素，綜合評估該漏洞在攻防實戰場景的風險。當漏洞綜合評估為風險嚴重、影響面較廣、技術細節已披露，且被安全社區高度關注時，就將該漏洞列為必修安全漏洞候選清單。

騰訊安全威脅情報中心會定期發布安全漏洞必修清單，以此指引政企客戶安全運維人員修復漏洞，從而避免重大損失。 

以下是2021年11月份必修安全漏洞清單：

01Microsoft Exchange Server遠程執行代碼漏洞

概述：

微軟已在2021年11月補丁（2021.11.10）公開披露了Exchange 遠程代碼執行漏洞（CVE-2021-42321）風險，該漏洞為高危漏洞，CVSS評分8.8，攻擊者可利用該漏洞在exchange執行任意代碼。目前監測到到該漏洞的POC已在互聯網公開，風險較大。

MicrosoftExchange Server 是一個消息與協作系統。Exchange server可以被用來構架應用于企業、學校的郵件系統或免費郵件系統。它還是一個協作平臺，Exchange Server提供了電子郵件、會議安排、團體日程管理、任務管理、文檔管理、實時會議和工作流等豐富的協作應用，所有應用都可以通過Internet瀏覽器來訪問。

漏洞狀態：

風險等級：

影響版本：

MicrosoftExchange Server 2019 Cumulative Update 11

MicrosoftExchange Server 2016 Cumulative Update 22

MicrosoftExchange Server 2019 Cumulative Update 10

MicrosoftExchange Server 2016 Cumulative Update 21

修復建議：

根據影響版本中的信息，排查并升級到安全版本，官方下載鏈接為：https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-42321

或者使用Windows升級服務更新11月補丁。

02VMware Spring 代碼注入漏洞 

概述：

2021 年 11 月 22 日，VMware 發布安全公告披露了Spring Cloud Netflix漏洞（CVE-2021-22053）風險，漏洞威脅等級：高危，CVSS評分7.5。

Vmware VMwareSpring Cloud Netflix是美國威睿（Vmware）公司的一個服務。通過自動配置和綁定到SpringEnvironment和其他Spring編程模型習語，為SpringBoot應用程序提供NetflixOSS集成。 

VMware SpringCloud Netflix存在安全漏洞，該漏洞源于使用`spring-cloud-netflix-hystrix-dashboard`和`spring-boot-starter-thymeleaf`的應用程序公開了在解析視圖模板期間執行請求URI路徑中提交的代碼的方法。當在/hystrix/monitor上發出請求時；[用戶提供的數據]，hystrix/monitor后面的路徑元素將作為SpringEL表達式進行計算，這可能導致代碼執行。 

當在`/hystrix/monitor;[user-provided data]` 發出請求時，`hystrix/monitor`后面的路徑元素會被評估為 SpringEL 表達式，這可能會導致代碼執行。 

漏洞狀態：

風險等級：

影響版本：

2.2.10.RELEASE之前的版本受影響

修復建議：

根據影響版本中的信息，排查并升級到安全版本2.2.10.RELEASE+。

03VMware vCenter Server任意文件讀取漏洞

概述：

2021 年 11 月 25 日，騰訊安全監測發現VMware 發布安全公告披露了vCenter Server及Cloud Foundation任意文件讀取漏洞（CVE-2021-21980）風險，漏洞威脅等級：高危，CVSS評分7.5。

vCenter Server是VMware的集中式管理實用程序，用于從單個集中位置管理虛擬機，多個ESXi主機和所有從屬組件。 

漏洞狀態：

風險等級：

影響版本：

VMwarevCenter Server (vCenter Server) 6.5

VMwarevCenter Server (vCenter Server) 6.7

VMwareCloud Foundation (Cloud Foundation) 3.x

修復建議：

根據影響版本中的信息，排查并升級到安全版本:

VMwarevCenter Server (vCenter Server) 7.0

VMwareCloud Foundation (Cloud Foundation) 4.x

https://customerconnect.vmware.com/downloads/details?downloadGroup=VC65U3R&productId=614&rPId=74057

04西門子(Siemens)安全漏洞

概述：

2021年11月11日，騰訊安全監測發現Siemens官網發布公告披露了SiemensAPOGEE

MBC、APOGEE MEC、APOGEE PXC Compact、APOGEE PXC Modular、Capital

VSTAR、Nucleus NET、Nucleus ReadyStart、Nucleus Source Code、TALON TC

Compact 和 TALON TC Modular產品中的一個高危漏洞(CVE-2021-31886)，該漏洞源于FTP服務器未正確驗證“USER”命令的長度，導致基于堆棧的緩沖區溢出。這可能會導致拒絕服務條件和遠程代碼執行，漏洞威脅等級：高危，CVSS評分9.8。

漏洞狀態：

風險等級：

影響版本：

APOGEEMBC (PPC) (BACnet) 所有版本

APOGEEMBC (PPC) (P2 Ethernet) 所有版本

APOGEEMEC (PPC) (BACnet) 所有版本

APOGEEMEC (PPC) (P2 Ethernet) 所有版本

APOGEEPXC Compact (BACnet) 所有版本

APOGEEPXC Compact (P2 Ethernet) 所有版本

APOGEEPXC Modular (BACnet) 所有版本

APOGEEPXC Modular (P2 Ethernet) 所有版本

CapitalVSTAR 所有版本

NucleusNET 所有版本

NucleusReadyStart V3 < V2017.02.4

NucleusSource Code 所有版本

TALON TCCompact (BACnet) 所有版本

TALON TCModular (BACnet) 所有版本 

修復建議：

根據影響版本中的信息，排查并升級到安全版本:

https://cert-portal.siemens.com/productcert/pdf/ssa-044112.pdf

05VMware vCenter Server權限提升漏洞

概述：

2021 年 11 月 11 日，騰訊安全監測發現VMware官網發布公告披露了vCenter Server存在權限提升漏洞，漏洞威脅等級：高危，CVSS評分8.8。

VMware vCenterServer是美國威睿（Vmware）公司的一套服務器和虛擬化管理軟件。該軟件提供了一個用于管理VMware Sphere環境的集中式平臺，可自動實施和交付虛擬基礎架構。vCenterServer存在權限許可和訪問控制問題漏洞，對vCenter Server具有非管理訪問權限的攻擊者可能會利用此問題將權限提升到更高權限組。

漏洞狀態：

風險等級：

影響版本：

vCenterServer 6.5

vCenterServer 6.7

vCenterServer 7.0

CloudFoundation (vCenter Server) 4.x

CloudFoundation (vCenter Server) 3.x

修復建議：

根據影響版本中的信息，排查并升級到安全版本:

安裝補丁KB86292，地址如下:

https://kb.vmware.com/s/article/86292

06Linux Kernel TIPC遠程代碼執行漏洞

概述：

2021 年 11 月 04 日，騰訊安全監測發現SentinelLabs的研究人員披露了Linux Kernel的 TIPC 模塊中的一個堆溢出漏洞（CVE-2021-43267），漏洞CVSS評分:9.8。

透明進程間通信（Transparent Inter-process Communication，縮寫為TIPC）是一種用于進程間通信的網絡通信協議，原本是為集群間通信特別設計的。它允許設計人員能夠創建可以和其它應用快速可靠地通信應用，無須考慮在其它需要通信的應用在集群環境中的位置。 

攻擊者可以遠程或本地利用此漏洞以執行任意代碼，獲取內核權限，從而攻擊整個系統。 

漏洞狀態：

風險等級：

影響版本：

5.10-rc1~ 5.14.16

修復建議：

根據影響版本中的信息，排查并升級到安全版本:

Linuxkernel更新到最新版本5.14.16

https://www.kernel.org/

07Cisco Policy Suite 安全漏洞

概述：

2021 年 11 月 04 日，騰訊安全監測發現Cisco官網發布公告披露了Cisco Policy Suite SSH 子系統存在安全漏洞，漏洞威脅等級：高危，CVSS評分9.8。 

CiscoPolicySuite是美國思科（Cisco）公司的一個套件，提供云原生策略、計費和用戶數據管理功能。CiscoPolicySuite存在安全漏洞，該漏洞源于CiscoPolicySuite基于密鑰的SSH認證機制中跨安裝重用靜態SSH密鑰造成的。攻擊者可利用該漏洞通過從他們控制的系統中提取密鑰。 

漏洞狀態：

風險等級：

影響版本：

CiscoPolicySuite21.2.0之前版本

修復建議：

根據影響版本中的信息，排查并升級到安全版本:

更改默認 SSH 密鑰方法如下:

第1步：

要生成新密鑰，請在安裝程序 VM（集群管理器）上執行以下命令：

/var/qps/install/current/scripts/bin/support/manage_sshkey.sh--create 

第2步：

更新CPS 虛擬機和安裝程序虛擬機（集群管理器）上的密鑰：

/var/qps/install/current/scripts/bin/support/manage_sshkey.sh--update

https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-cps-static-key-JmS92hNv

08Jenkins 安全漏洞

 概述：

2021 年 11 月 04 日，騰訊安全監測發現jenkins官網發布公告披露了Jenkins存在安全漏洞，包含：CVE-2021-21685 Jenkins訪問控制漏洞, CVE-2021-21686 Jenkins目錄遍歷漏洞, CVE-2021-21687Jenkins訪問控制漏洞, CVE-2021-21688 Jenkins訪問控制漏洞, CVE-2021-21689 Jenkins訪問控制漏洞,CVE-2021-21690 Jenkins緩解繞過, CVE-2021-21691 Jenkins訪問控制漏洞, CVE-2021-21692 Jenkins訪問控制漏洞,CVE-2021-21693 Jenkins訪問控制漏洞, CVE-2021-21694 Jenkins特權提升漏洞, CVE-2021-21695 Jenkins訪問控制漏洞。漏洞威脅等級：高危，CVSS評分8.8 – 9.8。

Jenkins是Jenkins開源的一個應用軟件。一個開源自動化服務器Jenkins提供了數百個插件來支持構建，部署和自動化任何項目。 

漏洞狀態：

風險等級：

影響版本：

Jenkinsweekly 版本小于等于2.318

JenkinsLTS 版本小于等于2.303.2

SubversionPlugin 版本小于等于2.15.0

修復建議：

根據影響版本中的信息，排查并升級到安全版本:

Jenkinsweekly升級到2.319

JenkinsLTS 升級到 2.303.3

SubversionPlugin 升級到2.15.1

https://www.jenkins.io/security/advisory/2021-11-04/#SECURITY-2423

09GlobalProtect 遠程代碼執行漏洞

概述：

2021 年 11 月 10 日，騰訊安全監測發現PaloAlto官網發布公告披露了PaloAlto-GlobalProtect存在安全漏洞，漏洞威脅等級：高危，CVSS評分9.8。

PaloAltoNetworksGlobalProtect是美國PaloAltoNetworks公司的一套網絡防護軟件。該軟件可提供防火墻監控及威脅預防等功能。 

攻擊者可利用該漏洞中斷系統進程，并可能以root權限執行任意代碼。

漏洞狀態：

風險等級：

影響版本：

PAN-OS8.1.17之前的PAN-OS8.1版本

修復建議：

根據影響版本中的信息，排查并升級到安全版本: PAN-OS 8.1.17

https://security.paloaltonetworks.com/CVE-2021-3064