【漏洞通告】Apache Archiva多个漏洞通告

admin 2023年1月1日15:25:35安全漏洞评论9 views1890字阅读6分18秒阅读模式
【漏洞通告】Apache Archiva多个漏洞通告

漏洞名称:

Apache Archiva多个漏洞

组件名称:

Apache Archiva

安全公告链接:

1.https://lists.apache.org/thread/x01pnn0jjsw512cscxsbxzrjmz64n4cc

2.https://lists.apache.org/thread/1odl4p85r96n27k577jk6ftrp19xfc27

官方解决方案:

已发布


漏洞分析

【漏洞通告】Apache Archiva多个漏洞通告

组件介绍

Apache Archiva是可扩展的存储库管理软件,可帮助维护个人或企业范围内的构建工件存储库。

【漏洞通告】Apache Archiva多个漏洞通告

漏洞描述

2022年12月30日,深信服安全团队监测到一则Apache Archiva官方发布安全版本的通告,共修复了2个安全漏洞,其中包含2个高危漏洞的信息。


序号

漏洞名称

影响版本

严重等级

1

Apache Archiva任意文件读取漏洞(CVE-2022-40308)

Apache Archiva < 2.2.9

高危

2

Apache Archiva任意目录删除漏洞(CVE-2022-40309)

Apache Archiva < 2.2.9

高危


高危漏洞描述


Apache Archiva任意文件读取漏洞(CVE-2022-40308)

该漏洞是因为Apache Archiva 2.2.9以下版本在下载Artifact时,可以在文件名中注入目录穿越符,导致任意文件读取漏洞,攻击者可利用该漏洞在获得权限的情况下,构造恶意数据执行任意文件读取攻击,最终可造成服务器敏感性信息泄露。


Apache Archiva任意目录删除漏洞(CVE-2022-40309)

该漏洞是因为Apache Archiva 2.2.9以下版本在删除Artifact时,可以在目录中注入目录穿越符,导致任意目录删除漏洞。攻击者可利用该漏洞在获得权限的情况下,构造恶意数据执行任意目录删除攻击,最终可造成服务器敏感性信息丢失。

解决方案

【漏洞通告】Apache Archiva多个漏洞通告

官方修复建议

当前官方已发布最新版本,建议受影响的用户及时更新升级到最新版本。链接如下:

https://archiva.apache.org/download.cgi

【漏洞通告】Apache Archiva多个漏洞通告

深信服解决方案

1.主动检测
支持对Apache Archiva任意文件读取漏洞(CVE-2022-40308)、Apache Archiva任意目录删除漏洞(CVE-2022-40309)的主动检测,可批量快速检出业务场景中该事件的受影响资产情况,相关产品如下:

【深信服云镜YJ】预计2023年1月15日发布检测方案。

【深信服漏洞评估工具TSS】预计2023年1月15日发布检测方案。

【深信服安全托管服务MSS】预计2023年1月15日发布检测方案。

【深信服安全检测与响应平台XDR】预计2023年1月15日发布检测方案。


2.安全监测
支持对Apache Archiva任意文件读取漏洞(CVE-2022-40308)、Apache Archiva任意目录删除漏洞(CVE-2022-40309)的监测,可依据流量收集实时监控业务场景中的受影响资产情况,快速检查受影响范围,相关产品及服务如下:
【深信服安全感知管理平台SIP】预计2023年1月3日发布检测方案。

【深信服安全托管服务MSS】预计2023年1月3日发布检测方案。

【深信服安全检测与响应平台XDR】预计2023年1月3日发布检测方案。


3.安全防护
支持对Apache Archiva任意文件读取漏洞(CVE-2022-40308)、Apache Archiva任意目录删除漏洞(CVE-2022-40309)的防御,可阻断攻击者针对该事件的入侵行为,相关产品及服务如下:

【深信服下一代防火墙AF】预计2023年1月3日发布防护方案。

【深信服Web应用防火墙WAF】预计2023年1月3日发布防护方案。

【深信服安全托管服务MSS】预计2023年1月3日发布防护方案。

【深信服安全检测与响应平台XDR】预计2023年1月3日发布防护方案。

参考链接

1.https://lists.apache.org/thread/x01pnn0jjsw512cscxsbxzrjmz64n4cc

2.https://lists.apache.org/thread/1odl4p85r96n27k577jk6ftrp19xfc27

时间轴


2022/12/30

深信服监测到Apache Archiva相关漏洞情报。

2022/12/30 

深信服千里目安全技术中心发布漏洞通告。



点击阅读原文,及时关注并登录深信服智安全平台,可轻松查询漏洞相关解决方案。

【漏洞通告】Apache Archiva多个漏洞通告


【漏洞通告】Apache Archiva多个漏洞通告



原文始发于微信公众号(深信服千里目安全技术中心):【漏洞通告】Apache Archiva多个漏洞通告

特别标注: 本站(CN-SEC.COM)所有文章仅供技术研究,若将其信息做其他用途,由用户承担全部法律及连带责任,本站不承担任何法律及连带责任,请遵守中华人民共和国安全法.
  • 我的微信
  • 微信扫一扫
  • weinxin
  • 我的微信公众号
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2023年1月1日15:25:35
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                  【漏洞通告】Apache Archiva多个漏洞通告 http://cn-sec.com/archives/1490903.html

发表评论

匿名网友 填写信息

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: