近期需要關注的 12 個漏洞 - 網安 - 專業的網絡安全產業、社區、知識平臺

CVE-2019-0230 Struts遠程代碼執行漏洞

漏洞描述

CVE-2019-0230漏洞，與S2-029、S2-036漏洞相似，在Struts 2.0.0版本的double evaluation機制中，當在Struts標簽屬性內強制執行OGNL evaluation時存在被惡意注入OGNL表達式的風險，從而實現代碼執行效果，該漏洞實際已在2019年11月發布的2.5.22版本中修復。

CVE-2019-0233漏洞，在將文件上傳到使用getter暴露文件的Action時，惡意攻擊者可以操縱該請求，從而實現拒絕服務效果，在實際利用場景中，可以將上傳文件的工作副本甚至容器臨時上傳目錄設置為只讀訪問，這將導致對文件或文件上載的后續操作失敗并顯示錯誤。

影響版本

OGNL表達式注入的遠程代碼執行漏洞（CVE-2019-0230）和拒絕服務漏洞（CVE-2019-0233）影響以下版本：

Struts 2.0.0-Struts 2.5.20，建議更新到Struts 2.5.22以上版本

官方下載地址：struts.apache.org/download.cgi

GitHub下載地址：github.com/apache/struts/releases

修復建議

高危：目前漏洞細節和利用代碼已經部分公開，參考S2-029、S2-036的利用應該很快會出現利用代碼，建議及時測試并升級到漏洞修復的版本，或部署必要的安全防護設備攔截惡意攻擊代碼。

安全開發和安全運營建議：

基于Struts 2的開發不要在標簽屬性中使用％{…}語法引用未經驗證的用戶可修改輸入；除了Struts 2，近期還應該及時關注Tomcat、Weblogic、WebSphere、JBOSS、Spirng FrameWork、Shiro、CAS、Fastjson等服務和框架組件的漏洞公告。

來源

https://mp.weixin.qq.com/s/8sz6X8nMC84DE3a...

CVE-2020-11995 Apache Dubbo遠程代碼執行

漏洞描述

Apache Dubbo默認反序列化協議Hessian2被曝存在代碼執行漏洞，攻擊者可利用漏洞構建一個惡意請求達到遠程代碼執行的目的。

Apache Dubbo 是一種基于 Java 的高性能 RPC 框架。該項目最初由阿里巴巴開發，于 2011 年開源，并于 2018 年 2 月進入 Apache 孵化器，它提供了三大核心能力：面向接口的遠程方法調用，智能容錯和負載均衡，以及服務自動注冊和發現目前被多家公司采用，包括阿里巴巴集團、中國人壽、中國電信、當當網、滴滴出行、海爾和中國工商銀行等。

影響版本

Dubbo 2.7.0 ~ 2.7.7
Dubbo 2.6.0 ~ 2.6.8
Dubbo 所有 2.5.x 版本 (官方已不再提供支持)

修復建議

盡快升級Apache Dubbo到安全版本

來源

https://s.tencent.com/research/bsafe/1090....
https://mp.weixin.qq.com/s/g3xzAyJXsgfw8Ln...

CVE-2020-13933 Apache Shiro 權限繞過漏洞

漏洞描述

CVE-2020-13933漏洞，漏洞基于Apache Shiro 1.5.3版本的不完全修復，惡意攻擊者可以通過構造行特殊編碼的請求繞過身份驗證，從而突破原本受限的權限。

安恒應急響應中心已驗證該漏洞的可利用性，建議及時更新

影響版本

Apache Shiro身份驗證繞過漏洞（CVE-2020-13933）影響以下版本：

Apache Shiro 1.6.0之前版本，建議更新到1.6.0或以上版本

官方下載地址：
shiro.apache.org/download.html

GitHub更新版本地址：
github.com/apache/shiro/releases

修復建議

高危：目前漏洞細節和利用代碼雖暫未公開，但可以通過補丁對比方式逆向分析出漏洞觸發點，并進一步開發出漏洞利用代碼，建議及時測試并更新到漏洞修復的版本，或部署必要的安全防護設備攔截惡意攻擊代碼。

安全開發和安全運營建議：

除了Shiro，近期還應該及時關注Tomcat、Weblogic、WebSphere、JBOSS、Spirng FrameWork、Struts 2、CAS、Fastjson等服務和框架組件的漏洞公告。

來源

https://www.cnvd.org.cn/flaw/show/CNVD-202...

https://mp.weixin.qq.com/s/CokC-zx5A1_pLWy...

CVE-2020-4450 WebSphere 遠程代碼執行漏洞

漏洞描述

2020年6月15日，IBM官方發布了針對CVE-2020-4450漏洞的防御補丁。漏洞產生的原因是IBM WebSphere Application Server可以允許遠程攻擊者通過iiop協議傳輸精心構造的序列化數據，在系統上執行任意代碼。

影響版本

WebSphere Application Server: 9.0.0.0 to 9.0.5.4
WebSphere Application Server: 8.5.0.0 to 8.5.5.17
WebSphere Application Server: 8.0.0.0 to 8.0.0.15
WebSphere Application Server: 7.0.0.0 to 7.0.0.45

修復建議

官方已經針對此漏洞發布補丁，請受影響的用戶按照以下方式進行修復：

WebSphere Application Server 9.0：更新安全補丁PH25074，或者升級到9.0.5.5及更高版本。
WebSphere Application Server 8.5：更新安全補丁PH25074，或者升級到8.5.5.18及更高的版本。

來源

https://www.zerodayinitiative.com/blog/202...

https://mp.weixin.qq.com/s/cG8onNoNsYWGZNQ...

CNVD-2020-46552 深信服終端檢測平臺（EDR）存在遠程命令執行漏洞

漏洞描述

深信服終端檢測響應平臺EDR可通過云網端聯動協同、威脅情報共享、多層級響應機制，幫助用戶快速處置終端安全問題，構建輕量級、智能化、響應快的下一代終端安全系統。

深信服終端監測響應平臺（EDR）存在遠程命令執行漏洞。攻擊者可通過構造HTTP請求來利用此漏洞，成功利用此漏洞的攻擊者可以在目標主機上執行任意命令。

影響版本

漏洞影響的產品版本包括：

深信服EDR 3.2.16、3.2.17、3.2.19版本，其他版本不受影響。

修復建議

目前，深信服官方已發布更新版本和修復補丁，更新至3.2.21版本或升級補丁可修復該漏洞。

深信服已經通過在線升級功能完成漏洞補丁的在線升級修復，用戶開啟在線升級功能后即可升級至最新版本。
針對未開通在線升級功能的用戶，深信服將通過客服熱線主動指導用戶升級，直至升級成功。同時，用戶也可以通過自行下載3.2.21版本升級安裝包：https://bbs.sangfor.com.cn/plugin.php?id=s... 然后打開EDR管理平臺后臺，在系統管理–升級管理–平臺和終端升級中導入該下載升級安裝包，導入后，管理平臺和終端將自動升級至3.2.21版本。
如暫時無法升級，可臨時對深信服EDR系統服務配置IP訪問權限策略，將其可訪問的IP范圍控制在安全可控的區域內。

建議使用深信服EDR系統信息系統運營者及時自查，發現存在漏洞后，按照漏洞處置建議及時進行加固處置。

來源

www.cnvd.org.cn/webinfo/show/5677

https://www.cnvd.org.cn/flaw/show/CNVD-202...

CNVD-2020-46639 Microsoft Windows和Windows Server權限提升漏洞

漏洞描述

Microsoft Windows和Microsoft Windows Server都是美國微軟（Microsoft）公司的產品。Microsoft Windows是一套個人設備使用的操作系統。Microsoft Windows Server是一套服務器操作系統。

Microsoft Windows和Windows Server存在權限提升漏洞，該漏洞源于Windows Update Stack未能正確處理內存中的對象，攻擊者可利用該漏洞在內核模式下運行任意代碼，從而可安裝程序，查看、更改或刪除數據，或創建具有完全用戶權限的新帳戶。

影響版本

Microsoft Windows Server 2019
Microsoft Microsoft Windows Server 1803
Microsoft Microsoft Windows Server 1903
Microsoft Windows 10 1709
Microsoft Windows 10 1803
Microsoft Windows 10 1809
Microsoft Windows 10 1903
Microsoft Microsoft Windows Server 1909
Microsoft Windows 10 1909

修復建議

廠商已發布了漏洞修復程序，請及時關注更新：
https://portal.msrc.microsoft.com/en-US/se...

來源

https://www.cnvd.org.cn/flaw/show/CNVD-202...

CNVD-2020-46637 Microsoft Windows Graphics Components遠程代碼執行漏洞

漏洞描述

Microsoft Windows和Microsoft Windows Server都是美國微軟（Microsoft）公司的產品。Microsoft Windows是一套個人設備使用的操作系統。Microsoft Windows Server是一套服務器操作系統。Graphics Components是其中的一個圖形組件。

Microsoft Windows Graphics Components中存在遠程代碼執行漏洞該漏洞，該漏洞源于Microsoft圖形組件處理內存中對象的方式存在問題，攻擊者可利用該漏洞在目標系統上執行任意代碼。

影響版本

Microsoft Windows Server 2008 R2 SP1
Microsoft Windows Server 2008 SP2
Microsoft Windows 7 SP1
Microsoft Windows Windows Server 2012
Microsoft Windows 8.1
Microsoft Windows RT 8.1 SP0
Microsoft Windows Server 2012 R2
Microsoft Windows 10
Microsoft Windows 10 1607
Microsoft Windows Server 2016
Microsoft Windows Server 2019
Microsoft Microsoft Windows Server 1803
Microsoft Microsoft Windows Server 1903
Microsoft Windows 10 1709
Microsoft Windows 10 1803
Microsoft Windows 10 1809
Microsoft Windows 10 1903
Microsoft Microsoft Windows Server 1909
Microsoft Windows 10 1909

修復建議

廠商已發布了漏洞修復程序，請及時關注更新：
https://portal.msrc.microsoft.com/en-US/se...

來源

https://www.cnvd.org.cn/flaw/show/CNVD-202...

Citrix Endpoint Management 多個高危漏洞

漏洞描述

2020年08月13日， 360CERT監測發現Citrix官方發布Citrix Endpoint Management組件的風險通告，包含多個等級不等漏洞。

影響版本

以下版本受到嚴重影響

XenMobile Server < 10.12 RP2
XenMobile Server < 10.11 RP4
XenMobile Server < 10.10 RP6
XenMobile Server < 10.9 RP5

以下版本受到中等影響

XenMobile Server < 10.12 RP3
XenMobile Server < 10.11 RP6
XenMobile Server < 10.10 RP6
XenMobile Server < 10.9 RP5

修復建議

及時測試并更新到漏洞修復的版本或升級版本

來源

https://cert.#/warning/detail?id=c907...

CVE-2020-13699 TeamViewer入侵漏洞

漏洞描述

TeamViewer是德國TeamViewer公司的一套用于遠程控制、桌面共享和文件傳輸的軟件。

基于Windows平臺的TeamViewer 15.8.3之前版本中存在安全漏洞，該漏洞源于程序無法正確引用其自定義URI處理程序。攻擊者可借助特制參數利用該漏洞啟動TeamViewer。

經技術確認，該漏洞較難利用，難以造成嚴重危害。啟動會有提示。

影響版本

TeamViewer < 8.0.258861
TeamViewer < 9.0.28860
TeamViewer < 10.0.258873
TeamViewer < 11.0.258870
TeamViewer < 12.0.258869
TeamViewer < 13.2.36220
TeamViewer < 14.2.56676
TeamViewer < 15.8.3

修復建議

目前廠商已發布升級補丁以修復漏洞，補丁獲取鏈接：

https://community.teamviewer.com/t5/Announ...

來源

http://www.cnnvd.org.cn/web/xxk/ldxqById.t...

CNVD-2019-20835 齊治運維堡壘的前臺遠程命令執行漏洞（無需登錄）

漏洞描述

浙江齊治科技股份有限公司是一家主要經營計算機軟硬件、網絡產品的技術開發等項目的公司。

齊治運維堡壘機服務端存在命令執行漏洞，攻擊者可利用該漏洞獲取服務器權限。

影響版本

浙江齊治科技有限公司齊治運維堡壘機

修復建議

廠商已提供修復方案，請關注廠商主頁更新：
www.shterm.com/

來源

www.cnvd.org.cn/flaw/show/1632201

QEMU-KVM越界讀寫漏洞

漏洞描述

QEMU是一款開源的虛擬化軟件，用代碼模擬了許多常用的硬件設備，如網卡、顯卡、聲卡等。該漏洞，是360 VulcanTeam于2019天府杯中，用時13秒即刻破解的經典0day漏洞。肖偉強調，該漏洞一旦被成功利用，可以實現越界讀、越界寫、相對偏移越界寫等操作，最終在宿主機中執行任意代碼，造成較為嚴重的信息泄露。