雷神众测漏洞周报 2020.11.23-2020.11.29-4

1. VMware 多个产品高危漏洞

漏洞介绍：
近日，VMware官方更新发布了VMware ESXi、VMware Workstation Pro/Player、VMware Fusion Pro/Fusion、VMware Cloud Foundation等多个产品存在安全漏洞的公告，公告编号：VMSA-2020-0026.1，对应CVE编号：CVE-2020-4004、CVE-2020-4005。

漏洞危害：
在VMware ESXi、Workstation、Fusion、Cloud Foundation (ESXi)的XHCI USB控制器存在UAF（内存释放后重用）漏洞，虚拟机上具有本地管理员权限的恶意攻击者，可能会利用此漏洞在宿主机的VMX进程中执行代码，从而实现虚拟机逃逸。

CVE-2020-4004漏洞、根据分析，在VMware ESXi、 Workstation、Fusion、Cloud Foundation (ESXi)的XHCI USB控制器存在UAF（内存释放后重用）漏洞，在虚拟机上具有本地管理员权限的恶意攻击者，可能会利用此漏洞在宿主机的VMX进程中执行代码，从而实现虚拟机逃逸，该漏洞已被验证可利用。

CVE-2020-4005漏洞，根据分析，在VMware ESXi、VMware Cloud Foundation (ESXi)中管理的system calls方式中存在权限提升漏洞，该漏洞需要和CVE-2020-4004组合利用。

漏洞编号：
CVE-2020-4004
CVE-2020-4005

影响范围：
本次公告提及的安全漏洞影响以下版本：
VMware ESXi 6.5，建议更新到ESXi650-202011301-SG以上版本；
https://docs.vmware.com/en/VMware-vSphere/6.5/rn/esxi650-202011002.html

VMware ESXi 6.7，建议更新到ESXi670-202011101-SG以上版本；
https://docs.vmware.com/en/VMware-vSphere/6.7/rn/esxi670-202011002.html

VMware ESXi 7.0，建议更新到ESXi70U1b-17168206以上版本；
https://docs.vmware.com/en/VMware-vSphere/7.0/rn/vsphere-esxi-70u1b.html

VMware Fusion Pro/Fusion 11.X，建议更新到11.5.7以上版本；
https://www.vmware.com/go/downloadfusion

VMware Workstation Pro/Player 15.X，建议更新到15.5.7以上版本；
https://www.vmware.com/go/downloadplayer
https://www.vmware.com/go/downloadworkstation

VMware Cloud Foundation 3.X，建议更新到3.10.1.2以上版本；
https://docs.vmware.com/en/VMware-Cloud-Foundation/3.10.1/rn/VMware-Cloud-Foundation-3101-Release-Notes.html#3.10.1.2

VMware Cloud Foundation 4.X，建议更新到4.1.0.1以上版本。
https://docs.vmware.com/en/VMware-Cloud-Foundation/4.1/rn/VMware-Cloud-Foundation-41-Release-Notes.html#4.1.0.1

Fusion 12.x、Workstation 16.x不受影响。

修复方案：
及时测试漏洞修复的版本并及时升级。

来源: 安恒应急响应中心

2. Drupal core高危漏洞

漏洞介绍：
2020年11月25日，Drupal官方发布了关于Drupal core存在任意PHP代码执行漏洞的安全公告，对应两个CVE编号：CVE-2020-28948、CVE-2020-28949，公告编号：SA-CORE-2020-013。

漏洞危害：
根据公告，Drupal core使用的PEAR Archive_Tar库，在处理.tar、.tar.gz、.bz2、.tlz文件类型时存在漏洞，如果将Drupal配置为允许这些文件上传并处理它们，则可能触发漏洞，恶意攻击者成功利用该漏洞可以实现任意PHP代码执行效果。

漏洞编号：
CVE-2020-28948
CVE-2020-28949

影响范围：

Drupal core 任意PHP代码执行漏洞影响和建议更新的版本如下：
Drupal 9.0分支版本，建议更新到Drupal 9.0.9以上版本
Drupal 8.9分支版本，建议更新到Drupal 8.9.10以上版本
Drupal 8.8分支版本，建议更新到Drupal 8.8.12以上版本
Drupal 7分支版本，建议更新到Drupal 7.75以上版本
注意：8.8.x之前的Drupal 8分支版本已经停止维护，不提供安全更新。

修复建议：
及时测试并升级到最新版本或升级版本

来源：安恒信息应急响应中心

3. Atlassian Fisheye Crucible拒绝服务漏洞

漏洞介绍：
Atlassian Fisheye和Crucible都是澳大利亚Atlassian公司的产品。Atlassian Fisheye是一套源代码深度查看软件。Crucible是一套代码审查工具。

漏洞危害：
Atlassian Fisheye/Crucible存在拒绝服务漏洞，攻击者可利用该漏洞通过EyeQL中用户提供的Regex来实现Regex拒绝服务。

漏洞编号：
CVE-2020-14190

影响范围：
Atlassian Atlassian Fisheye Crucible

修复建议：
及时测试并升级到漏洞修复的版本。

来源：CNVD

4. Cisco安全管理器存在未授权文件上传漏洞

漏洞介绍：
Cisco Security Manager 是一个企业级安全管理应用程序，可提供对思科安全和网
络设备的了解和控制。

漏洞危害：
Cisco安全管理器存在未授权文件上传漏洞，攻击着可以通过此漏洞上传任意文件造成RCE。

影响范围：
Cisco Cisco Security Manager <= 4.22

修复建议：
及时测试并更新最新补丁

来源：CNVD