雷神众测漏洞周报2021.05.31-2021.06.06-4

  • A+
所属分类:安全新闻

声明

以下内容,均摘自于互联网,由于传播,利用此文所提供的信息而造成的任何直接或间接的后果和损失,均由使用者本人负责,雷神众测以及文章作者不承担任何责任。

雷神众测拥有该文章的修改和解释权。如欲转载或传播此文章,必须保证此文章的副本,包括版权声明等全部内容。声明雷神众测允许,不得任意修改或增减此文章内容,不得以任何方式将其用于商业目的。


目录

1. runc符号链接挂载与容器逃逸漏洞

2. 用友NC任意命令执行漏洞

3. 红帆ioffice 10医院版存在SQL注入漏洞

4. ThinkPHP存在命令执行漏洞


漏洞详情

1. runc符号链接挂载与容器逃逸漏洞    


漏洞介绍:

runc 是一个CLI工具,用于根据OCI规范生成和运行容器,该工具被广泛的应用于各种虚拟化环境中,如Kubernets。


漏洞危害:

恶意攻击者成功利用该漏洞能将宿主机目录挂载到容器中,可实现容器逃逸。


漏洞编号:

CVE-2021-30465


影响范围:

runc 1.0.0-rc94以及之前的版本


修复方案:

高危:目前漏洞细节和利用代码已经公开,建议及时测试并升级到漏洞修复的版本。

处置建议:

1、升级runc至最新安全版本

2、尽量使用经过审查且来源可信的容器镜像

3、Red Hat官方提供了该漏洞的检测脚本:

https://access.redhat.com/sites/default/files/cve-2021-30465--2021-05-19-0759.sh


来源: 安恒应急响应中心  

2. 用友NC任意命令执行漏洞


漏洞介绍:

近日,安恒应急响应中心监测到用友在4月发布的NC产品中可导致远程命令执行的漏洞POC被安全研究员公开。


漏洞危害:

攻击者可以利用该漏洞在目标系统中执行命令,从而获取到目标系统管理权限。


影响范围:
NC6.5版本


修复建议:

及时测试并升级到最新版本或升级版本


来源:安恒应急响应中心

3. 红帆ioffice 10医院版存在SQL注入漏洞    


漏洞介绍:

广州红帆科技有限公司(以下简称:红帆科技)是十大军工集团之一——中国船舶集团有限公司旗下广船国际有限公司控股的高新技术企业。


漏洞危害:

红帆ioffice 10医院版存在SQL注入漏洞,攻击者可利用该漏洞获取数据库敏感信息。


影响范围:

广州红帆科技有限公司 iOffice 10医院版


修复建议:

及时测试并升级到最新版本或升级版本


来源:CNVD

4. ThinkPHP存在命令执行漏洞


漏洞介绍:

ThinkPHP是由上海顶想公司开发维护的MVC结构的开源PHP框架。


漏洞危害:

ThinkPHP存在命令执行漏洞,攻击者可利用该漏洞获取服务器控制权限。


影响范围:

上海顶想信息科技有限公司 ThinkPHP 3.2.3


修复建议:

及时测试并升级到最新版本或升级版本


来源:CNVD


雷神众测漏洞周报2021.05.31-2021.06.06-4

专注渗透测试技术

全球最新网络攻击技术


END

雷神众测漏洞周报2021.05.31-2021.06.06-4

本文始发于微信公众号(雷神众测):雷神众测漏洞周报2021.05.31-2021.06.06-4

发表评论

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: