【风险通告】2023年6月重点关注的漏洞

admin 2023年7月5日18:51:57评论120 views字数 23468阅读78分13秒阅读模式

0x00 风险概述

2023年6月,启明星辰安全应急响应中心监控到重点关注漏洞共计120+,漏洞来源包括CNVD、CNNVD 、CVE、NVD、CISA、互联网等,这些漏洞涉及Google、Progress Software、IBM、GitLab、Apache、VMware、Cisco、Grafana、Microsoft、Adobe、D-Link、Fortinet、ASUS、Linux kernel、Zyxel、Apple等多个厂商和开源项目。


0x01 风险详情

漏洞ID
供应商/项目
漏洞名称
描述
记录日期
参考链接/来源
CVE-2023-33733
开源
Reportlab代码注入漏洞(高危)
开源Python 库Reportlab版本<3.6.13中存在漏洞,该漏洞为Reportlab之前修复的代码执行漏洞的补丁绕过,通过绕过'rl_safe_eval'的沙箱限制,从而导致代码执行,该漏洞的细节及PoC/EXP已公开。
6月01日
Github
CVE-2023-2929
Google
Google  Chrome越界写入漏洞(高危)
Google  Chrome版本<114.0.5735.90在Swiftshader中存在越界写入漏洞,可以通过恶意制作的 HTML 页面利用该漏洞,可能导致数据损坏、拒绝服务或代码执行。
6月01日
Google官方
CVE-2023-33236
Moxa
Moxa  MXsecurity 系列硬编码凭据认证绕过漏洞(严重)
Moxa  MXsecurity 系列1.0 版本中存在硬编码 JWT 密钥,可利用该漏洞制作任意JWT令牌,然后绕过基于web的API的身份验证。该版本在SSH  CLI 程序中还存在一个命令注入漏洞CVE-2023-33235,高权限用户可利用该漏洞执行任意命令。可升级到MXsecurity 系列软件版本>=v1.0.1。
6月01日
Moxa官方
CVE-2023-34362
Progress  Software
MOVEit  Transfer SQL注入漏洞(高危)
MOVEit  Transfer 所有版本中存在SQL 注入漏洞,可在未经身份验证的情况下利用该漏洞获得对 MOVEit Transfer 数据库的未授权访问、提升权限或远程执行代码,该漏洞已发现被利用,且漏洞细节及PoC已公开。
6月02日
Progress
CVE-2023-33966
开源
Deno权限管理不当漏洞(高危)
Deno  是 JavaScript 和 TypeScript 的运行时。Deno 版本1.34.0和deno_runtime版本0.114.0中,使用内置“node:http”或“node:https”模块发出的出站 HTTP 请求未根据网络权限允许列表 ( --allow-net) 进行错误检查,可能导致允许访问设置的白名单之外的地址。可升级到Deno 版本1.34.1和deno_runtime版本0.115.0。
6月02日
Deno
Null
开源
Nacos  Jraft Hessian反序列化漏洞(高危)
Nacos版本1.4.0- 1.4.6之前、2.0.0- 2.2.3之前存在反序列化漏洞,由于Nacos集群处理部分Jraft请求时,未限制使用hessian进行反序列化,可能导致远程代码执行。但该漏洞仅影响7848端口(默认设置下),一般使用时该端口为Nacos集群间Raft协议的通信端口,不承载客户端请求,因此可以通过禁止该端口来自Nacos集群外部的请求来进行缓解,如果部署时已进行限制或未暴露,则不易受到攻击,可升级到Nacos 版本1.4.6或2.2.3。
6月02日
Nacos官方
CVE-2023-32707
Splunk
Splunk  Enterprise权限提升漏洞(高危)
Splunk  Enterprise版本9.0.5、8.2.11、8.1.14之前和Splunk  Cloud Platform版本9.0.2303.100之前存在权限提升漏洞,具有“edit_user”角色的低权限用户可以通过提供特制的 Web 请求将其权限提升为管理员权限。
6月02日
Splunk官方
CVE-2023-32714
Splunk
Splunk  App for Lookup File Editing路径遍历漏洞(高危)
Splunk  App for Lookup File Editing 版本<4.0.1中存在漏洞,低权限用户可以通过特制的web请求触发路径遍历漏洞,并利用该漏洞读取和写入Splunk安装目录的受限区域。
6月02日
Splunk官方
CVE-2023-0666
Wireshark
Wireshark拒绝服务漏洞(高危)
由于无法验证恶意制作的RTPS数据包提供的长度,默认情况下,Wireshark 版本<=4.0.5容易受到基于堆的缓冲区溢出漏洞的影响,可能导致在运行  Wireshark 的进程的上下文中执行代码。
6月02日
Wireshark官方
CVE-2023-2858
Wireshark
Wireshark缓冲区溢出漏洞(高危)
Wireshark  4.0.0 - 4.0.5、3.6.0 - 3.6.13在nstrace_read_v10 函数中存在堆缓冲区溢出漏洞,当读取格式错误的数据包跟踪文件可能会使NetScaler文件解析器崩溃导致拒绝服务,或利用该漏洞执行任意代码,可升级到Wireshark版本4.0.6或3.6.14。
6月05日
Wireshark官方
CVE-2023-32310
开源
DataEase  API接口IDOR漏洞(高危)
DataEase  是一个开源的数据可视化和分析工具。DataEase 版本<1.18.7的删除仪表板和删除系统消息的 API 接口存在不安全的直接对象引用 (IDOR) 漏洞,可能导致用户删除其他用户的仪表板或消息,或干扰标记消息已读的界面,该漏洞的细节已公开。
6月05日
DataEase
Null
思迈特软件
Smartbi任意文件读写漏洞(高危)
Smartbi  V7 - V10版本在HSQL数据源连接处存在任意文件读写漏洞,可能导致信息泄露或执行恶意操作,目前官方已经发布了该漏洞的补丁包。
6月05日
思迈特官方
CVE-2023-27554
IBM
IBM  WebSphere Application Server XXE漏洞(高危)
IBM  WebSphere Application Server 8.5 和 9.0 在处理 XML 数据时容易受到 XML 外部实体注入 (XXE) 攻击,可利用该漏洞获取敏感信息或消耗内存资源,可升级到8.5.5.23或9.0.5.15。
6月05日
NVD
CVE-2022-32525
Schneider  Electric
Schneider  Electric IGSS Data Server缓冲区溢出漏洞(高危)
Schneider  Electric IGSS Data Server 版本<15.0.0.22140存在缓冲区溢出漏洞,该漏洞源于在处理不受信任的输入时出现边界错误,可利用该漏洞发送特制的alarm data消息,触发内存破坏并在目标系统上执行任意代码。
6月05日
CNVD
CVE-2023-32342
IBM
BM  Global Security Kit加密问题漏洞(高危)
IBM  Global Security Kit 8.5和9.0中存在加密问题漏洞,该漏洞源于RSA解密实现中基于时间的侧通道,可利用该漏洞通过发送过多的用消息进行解密,进而获取敏感信息。
6月05日
CNVD
CVE-2023-32699
开源
MeterSphere拒绝服务漏洞(中危)
MeterSphere  版本<=2.9.1中存在拒绝服务漏洞,该漏洞源于在登陆时提交一个非常长的口令,就会迫使系统执行长口令MD5加密过程,可利用该漏洞导致服务器CPU及内存耗尽,从而造成拒绝服务,该漏洞的细节及PoC已公开。
6月05日
CNVD
CVE-2023-34092
开源
Vite信息泄露漏洞(高危)
Vite  在开发模式下运行时,在项目的根路径下为应用程序提供服务。默认情况下,vite 使用服务器选项 fs.deny 来保护文件的敏感信息。但可以使用双正斜杠(//)绕过Vite 服务器选项(server.fs.deny),导致未经身份验证的用户从应用程序的 Vite 根路径读取文件,该漏洞的POC已公开。
6月06日
Vite
CVE-2023-22647
开源
Rancher权限提升漏洞(严重)
SUSE  Rancher 版本2.6.13和2.7.4之前存在权限管理不当漏洞,标准用户可利用其现有的权限来操作本地集群中的  Kubernetes 秘密,导致秘密被删除,但其对秘密的读取级别权限被保留。当此操作结合其它特制命令时,可能会导致用户获得对属于本地集群中服务帐户的令牌的访问权限,并将权限提升为本地集群中的管理员。
6月06日
Rancher
CVE-2023-33965
开源
Brook代码执行漏洞(严重)
Brook版本<20230606中的tproxy服务器容易受到偷渡式命令注入攻击,威胁者可能欺骗受害者访问一个恶意网页,这将触发对本地tproxy服务的请求,导致远程代码执行。
6月06日
NVD
CVE-2023-2442
GitLab
GitLab  CE/EE 跨站脚本漏洞(高危)
GitLab  CE/EE多个受影响版本中,可以通过特制的带有 CSP 绕过的合并请求导致客户端的存储型 XSS,可能导致威胁者以受害者的名义执行任意操作,可升级到GitLab CE/EE版本  16.0.2、15.11.7 或15.10.8。
6月06日
GitLab
CVE-2023-3079
Google
Google  Chrome V8类型混淆漏洞(高危)
Google  Chrome版本114.0.5735.110 之前在V8中存在类型混淆漏洞,远程威胁者可通过恶意设计的 HTML 页面利用该漏洞,成功利用可能导致浏览器崩溃或执行任意代码,该漏洞已发现被利用。
6月06日
Google官方
CVE-2022-22706
Arm
Arm  Mali GPU 内核驱动程序未明漏洞(高危)
Arm  Mali GPU 内核驱动程序存在漏洞,可能导致非特权用户实现对只读内存页的写入访问,该漏洞影响了Midgard r26p0 - r31p0、Bifrost r0p0 - r35p0、以及Valhall r19p0 - r35p0,该漏洞已发现被利用。
6月07日
互联网
CVE-2023-30576
Apache
Apache  Guacamole释放后使用漏洞(中危)
Apache  Guacamole 版本0.9.10 - 1.5.1中,在处理 RDP 音频输入缓冲区时存在释放后使用,可能导致以guacd进程的权限执行任意代码,可升级到版本1.5.2。
6月07日
Apache官方
CVE-2023-30575
Apache
Apache  Guacamole注入漏洞(中危)
Apache  Guacamole版本< 1.5.2中,由于对Guacamole协议握手期间发送的指令元素的长度计算不正确,可能导致在握手期间通过特制的数据注入Guacamole指令。
6月07日
Apache官方
CVE-2023-20887
VMware
VMware  Aria Operations for Networks命令注入漏洞(严重)
VMware  Aria Operations for Networks 6.x中存在命令注入漏洞,对 VMware Aria Operations for Networks 具有网络访问权限的威胁者可以通过执行命令注入攻击,从而导致远程代码执行。此外,6.x中还存在一个经过身份验证的反序列化漏洞CVE-2023-20888和信息泄露漏洞CVE-2023-20889。
6月08日
VMware官方
CVE-2023-20178
Cisco
Cisco  Secure Client Software for Windows权限提升漏洞(高危)
Cisco  AnyConnect Secure Mobility Client Software for Windows 和Cisco Secure Client Software for Windows的客户端更新功能中存在漏洞,由于在升级过程中对创建的临时目录权限分配不当,经过身份验证的本地低权限用户可利用该漏洞将权限提升到 SYSTEM 权限,可升级到版本4.10MR7和5.0MR2,目前该漏洞的PoC已公开。
6月08日
Cisco官方
CVE-2023-20105、CVE-2023-20192
Cisco
Cisco  Expressway 系列& Cisco TelePresence  VCS权限提升漏洞(严重)
Cisco  Expressway Series 和Cisco TelePresence  Video Communication Server (VCS)中存在多个漏洞,经过身份验证的只读管理员可利用这些漏洞在受影响的系统上将其权限提升为具有读写凭据的管理员。
6月08日
Cisco官方
CVE-2023-2801
Grafana
Grafana拒绝服务漏洞(高危)
Grafana  版本9.4.12和9.5.3之前,可以通过公共仪表板使用混合查询来查询多个不同的数据源,或通过直接调用查询 API 来实现,这种查询可能导致Grafana 实例崩溃,造成拒绝服务。
6月08日
Grafana官方
CVE-2023-34414
Mozilla
Firefox  & Firefox点击劫持证书异常漏洞(高危)
具有无效 TLS 证书的站点的错误页面缺少 Firefox 用于保护提示和权限对话框免受利用人工响应时间延迟的攻击的激活延迟,某些特定情况下可能激活覆盖站点证书错误的按钮,该漏洞已在Firefox 114和Firefox ESR 102.12中修复,这些版本中还修复了Firefox 113 和 Firefox ESR 102.11 中的内存安全漏洞CVE-2023-34416。
6月08日
Mozilla官方
CNVD-2023-14276
武汉达梦
达梦数据库管理系统(DM7)麒麟版命令执行漏洞(中危)
武汉达梦数据库股份有限公司达梦数据库管理系统(DM7)麒麟版 7.6.1.108存在命令执行漏洞,可利用该漏洞执行任意命令。目前供应商已经发布了该漏洞的补丁
6月08日
CNVD
CVE-2023-25157、CVE-2023-25158
开源
GeoServer&  GeoTools SQL注入漏洞(严重)
GeoServer和GeoTools多个版本中存在漏洞,可以使用 OGC 过滤器和函数表达式进行 SQL 注入攻击,可能导致信息泄露或执行恶意操作。
6月09日
GeoServer
CNVD-2023-48562
畅捷通
畅捷通T+远程命令执行漏洞(高危)
畅捷通信息技术股份有限公司-畅捷通T+13.0、T+16.0版本存在命令执行漏洞,可能导致在未经授权的情况下利用该漏洞远程执行命令。目前供应商已发布了该漏洞的补丁
6月09日
互联网CNVD
CVE-2023-35036
Progress  Software
MOVEit  Transfer SQL注入漏洞(高危)
MOVEit  Transfer Web 应用程序中存在 SQL 注入漏洞,可能导致未经身份验证的威胁者获得对 MOVEit Transfer 数据库的未授权访问。可以通过向 MOVEit  Transfer 应用程序端点提交恶意设计的Payload,导致修改和泄露 MOVEit 数据库内容。
6月12日
Progress
CVE-2023-27997
Fortinet
Fortinet  FortiOS SSL-VPN远程代码执行漏洞(严重)
Fortinet  FortiOS SSL-VPN功能中存在基于堆的缓冲区溢出漏洞,可在未经身份验证的情况下利用该漏洞导致设备崩溃或执行任意代码。该漏洞已发现被利用,可升级到FortiOS 固件版本 6.0.17、6.2.15、6.4.13、7.0.12  、7.2.5或更高版本。注:该漏洞也影响FortiProxy。
6月12日
互联网Fortinet官方
CVE-2023-34238
开源
Gatsby  本地文件包含漏洞(中危)
Gatsby  是一个基于 React 的开源框架。
Gatsby在版本4.25.7和5.9.1之前,在__file-code-frame和__original-stack-frame路径中存在本地文件包含漏洞,在运行Gatsby开发服务器(gatsby develop)时容易受到针对该漏洞的攻击。在默认配置中使用开发服务器的用户不易受到影响。
6月12日
Gatsby
CVE-2023-34239
开源
Gradio输入验证不当漏洞(高危)
Gradio是一个开源Python库,用于构建机器学习和数据科学演示以及web应用程序。Gradio版本<=3.33.1中,由于缺少路径过滤,可能导致用户读取运行共享Gradio应用程序的机器上的任意文件;以及可能导致用户使用共享Gradio程序的机器代理任意URL,可升级到Gradio版本3.34.0。
6月12日
Gradio
CVE-2023-3173
开源
Froxlor限制不当漏洞(严重)
服务器管理软件Froxlor版本< 2.0.20中对过度身份验证尝试的限制不当,可能导致通过暴力破解绕过2FA,该漏洞的细节及PoC已公开,可升级到补丁版本2.0.20。
6月12日
互联网
CVE-2023-34212
Apache
Apache  NiFi反序列化漏洞(高危)
Apache  NiFi版本1.8.0 - 1.21.0中的JndiJmsConnectionFactoryProvider控制器服务,以及ConsumeJMS和PublishJMS处理器可让经过身份验证的授权用户配置URL和库属性,并使用JNDI对不可信数据进行反序列化利用,可升级到NiFi 版本1.22.0(在默认配置中为 JNDI URL 禁用 LDAP)。
6月13日
Apache官方
CVE-2023-34468
Apache
Apache  NiFi H2 JDBC代码执行漏洞(高危)
Apache  NiFi 版本0.0.2 - 1.21.0 中的 DBCPConnectionPool 和  HikariCPConnectionPool 控制器服务可让经过身份验证的授权用户用H2驱动程序配置数据库URL,从而实现自定义代码执行,可升级到NiFi 版本1.22.0(在默认配置中禁用 H2 JDBC URL)。
6月13日
Apache官方
Null
畅捷通
畅捷通T+ 反序列化漏洞(高危)
畅捷通T+ 13.0T+ 16.0中存在反序列化漏洞,可在未经身份验证的情况下通过构造恶意的请求在目标服务器上执行任意命令。目前供应商已经发布了补丁。
6月13日
互联网
CVE-2023-26133
开源
progressbar.js  原型污染漏洞(高危)
progressbar.js  包的所有版本都容易导致通过文件utils.js中的函数extend()受到原型污染攻击。该漏洞的细节及PoC已公开。
6月13日
NVD
CVE-2023-29357
Microsoft
Microsoft  SharePoint Server 特权提升漏洞(严重)
Microsoft  SharePoint Server 2019中存在权限提升漏洞,获得欺骗性JWT身份验证令牌的威胁者可以使用这些令牌执行网络攻击,从而绕过身份验证,并可能获得管理员权限。
6月14日
Microsoft官方
CVE-2023-32031
Microsoft
Microsoft  Exchange Server 远程代码执行漏洞(高危)
经过身份验证的用户可以尝试通过网络调用在服务器账户的上下文中触发恶意代码。
6月14日
Microsoft官方
CVE-2023-24897
Microsoft
.NET、.NET Framework 和 Visual Studio 远程代码执行漏洞(高危)
可以通过诱导受害者从网站下载并打开特制文件的漏洞利用,从而导致对受害者的计算机进行本地攻击,成功利用该漏洞可能导致任意代码执行。
6月14日
Microsoft官方
CVE-2023-29363、CVE-2023-32014、CVE-2023-32015
Microsoft
Windows  Pragmatic General Multicast 远程代码执行漏洞(严重)
Windows  Pragmatic General Multicast (PGM) 存在多个远程代码执行漏洞,当  Windows 消息队列服务运行在 PGM Server 环境中时,可以通过网络发送特制文件来实现远程代码执行。可以检查是否有名为Message Queuing的服务正在运行且 TCP 端口 1801 正在机器上侦听来判断是否启用Windows 消息队列服务。
6月14日
Microsoft官方
CVE-2023-29362
Microsoft
Remote  Desktop Client远程代码执行漏洞(高危)
在远程桌面连接的情况下,当受害者使用易受攻击的远程桌面客户端连接到攻击服务器时,控制远程桌面服务器的威胁者可以在 RDP 客户端计算机上触发远程代码执行 (RCE)。
6月14日
Microsoft官方
CVE-2023-28310
Microsoft
Microsoft  Exchange Server 远程代码执行漏洞(高危)
与 Exchange Server处于同一内网的经过身份验证的威胁者可以通过  PowerShell 远程会话实现远程代码执行。
6月14日
Microsoft官方
CVE-2023-20867
VMware
VMware  Tools身份验证绕过漏洞(低危)
VMware  Tools 版本12.xx、11.xx和10.3.x在  vgauth 模块中存在身份验证绕过漏洞,对 ESXi 具有root访问权限的威胁者可以利用该漏洞在该 ESXi 主机下运行的任何虚拟机上使用最高特权帐户执行未经身份验证的操作。该漏洞已发现被利用,可升级到VMware Tools 版本12.2.5。
6月14日
VMware官方
CVE-2023-29297
Adobe
Adobe  Commerce & Magento Open Source跨站脚本漏洞(高危)
Adobe  Commerce 和 Magento Open Source多个版本中存在存储型XSS漏洞,经过身份验证的管理员用户可利用该漏洞导致任意代码执行。
6月14日
Adobe官方
CVE-2023-22248
Adobe
Adobe  Commerce & Magento Open Source安全功能绕过漏洞(高危)
Adobe  Commerce 和 Magento Open Source多个版本中存在授权不当,可能导致在未经身份验证的情况下利用该漏洞绕过安全功能,而无需用户交互。
6月14日
Adobe官方
CVE-2023-26920
开源
fast-xml-parser原型污染漏洞(高危)
fast-xml-parser版本< 4.1.2中容易受到通过标签或属性名称的原型污染攻击,利用该漏洞用户能够使用__proto__作为标签或属性名称来签署代码。
6月14日
fast-xml-parser
CVE-2023-34114
Zoom
Zoom信息泄露漏洞(高危)
Zoom  for Windows和MacOS客户端版本5.14.10之前存在漏洞,可能导致经过身份验证的用户通过网络访问造成信息泄露。
6月14日
Zoom官方
CVE-2023-34000
WooCommerce
WordPress  WooCommerce Stripe Payment Gateway信息泄露漏洞(高危)
WordPress  插件WooCommerce Stripe  Payment Gateway版本< 7.4.1中存在未经身份验证的不安全直接对象引用(IDOR)漏洞,可能导致任何未经身份验证的用户查看任何 WooCommnerce 订单的 PII 数据,造成敏感信息泄露,该漏洞的细节已公开。
6月14日
互联网
CVE-2023-32548
金山软件
WPS  Office命令注入漏洞(高危)
WPS Office 版本 10.8.0.6186 中存在OS命令注入漏洞,可以执行中间人攻击的远程威胁者可将产品连接到恶意服务器并发送特制数据,则可能导致在安装该产品的系统上执行任意系统命令。
6月14日
NVD
CVE-2023-34149
Apache
Apache  Struts 2拒绝服务漏洞(中危)
Apache  Struts 2.0.0 - 6.1.2中,如果开发人员已将底层Collection 类型字段的 CreateIfNull 设置为 true(如果未设置,则默认为false),可能会由于未正确检查列表边界而导致OOM(内存耗尽),造成拒绝服务,可升级到Struts 2.5.31 、6.1.2.1 或更高版本。
6月15日
Apache官方
CVE-2023-34396
Apache
Apache  Struts 2拒绝服务漏洞(中危)
Apache Struts 2.0.0  - 6.1.2中,当多部分请求具有非文件标准格式字段时,Struts会将它们作为字符串放入内存,而不检查它们的大小。如果开发人员将struts.multipart.maxSize设置为等于或大于可用内存的值,则可能导致OOM,造成拒绝服务,可升级到Struts 2.5.31 、6.1.2.1 或更高版本。
6月15日
Apache官方
CVE-2023-3224
开源
Nuxt远程代码执行漏洞(高危)
Nuxt中的test-component-wrapper组件具有动态import功能,可以在服务器端接受任意用户输入,当服务器在开发模式下运行时,可利用该漏洞注入恶意代码。该漏洞影响了Nuxt版本3.4.0、3.4.1和3.4.2,目前漏洞细节及PoC已公开,可升级到Nuxt版本>=3.5.3。
6月15日
互联网
CVE-2023-35141
Jenkins
jenkins安全功能绕过漏洞(高危)
Jenkins  版本<=2.399 、LTS <=2.387.3 中,如果 URL 的一部分包含未充分转义的用户提供的值,则可能导致绕过CSRF保护,受害者可能会被诱骗通过打开上下文菜单向意外端点发送 POST 请求,从而导致敏感信息泄露或执行恶意操作,可升级到Jenkins 2.400、LTS 2.401.1。
6月15日
Jenkins官方
CVE-2023-33568
开源
Dolibarr未授权访问漏洞(高危)
Dolibarr  v16.0.0 - v16.0.5中存在安全漏洞,可能导致未经身份验证的威胁者执行数据库转储并访问敏感数据信息。该漏洞的细节及PoC已公开。
6月15日
NVD
CVE-2023-34251
开源
Grav服务器端模板注入漏洞(严重)
Grav版本<=1.7.42 中容易受到服务器端模板注入(SSTI)攻击,具有页面编辑权限的用户可以通过在管理员屏幕上嵌入恶意 PHP 代码来实现远程代码执行,该漏洞的PoC已公开,可升级到版本1.7.42。
6月15日
Grav
CVE-2023-30179
开源
CraftCMS服务器端模板注入漏洞(高危)
CraftCMS  版本< 4.4.2中容易受到服务器端模板注入攻击,在用户设置中设置用户照片位置时,经过身份验证的恶意用户可以将 Twig 模板注入用户照片位置字段,从而导致远程代码执行。
6月15日
互联网
Null
Microsoft
Azure  Bastion & Azure Container Registry跨站脚本漏洞(高危)
Azure  Bastion 和 Azure 容器注册表中存在两个安全漏洞,可能导致通过使用 iframe-postMessages 进行XSS攻击,造成Azure服务iframe中断、未授权访问或修改数据等,目前这些漏洞的细节已公开。
6月15日
Microsoft官方
Null
金蝶软件
金蝶云星空反序列化远程代码执行漏洞(高危)
金蝶云星空V8.X所有版本、V7.X所有版本、V6.2及之前所有私有云版本中存在反序列化漏洞,可在未经身份验证的情况下利用该漏洞远程执行代码。目前供应商已经发布了该漏洞的补丁
6月15日
互联网
CVE-2023-3216
Google
Google  Chrome V8 类型混淆漏洞(高危)
Google  Chrome版本114.0.5735.133 之前在V8 中存在类型混淆漏,远程威胁者可通过恶意设计的 HTML 页面利用该漏洞,成功利用可能导致浏览器崩溃或执行任意代码。
6月15日
Google官方
CVE-2023-3214
Google
Google  Chrome释放后使用漏洞(严重)
Google  Chrome版本114.0.5735.133 之前在自动填充付款中存在Use-After-Free漏洞,远程威胁者可用通过恶意设计的HTML页面利用堆损坏进行潜在的攻击,成功利用可能导致远程代码执行、拒绝服务或数据损坏等。
6月15日
Google官方
Null
思迈特软件
Smartbi商业智能软件登录绕过漏洞(高危)
广州思迈特软件有限公司Smartbi版本V7- V10中在特定情况下存在默认用户绕过登录问题,可能导致未经身份验证的威胁者利用该漏洞实现未授权访问、获取系统中的敏感信息等。目前供应商已经发布了该漏洞的补丁
6月16日
思迈特官方
CVE-2023-35708
Progress  Software
MOVEit  Transfer SQL注入漏洞(高危)
MOVEit  Transfer Web 应用程序中存在 SQL 注入漏洞,可能导致未经身份验证的威胁者获得对 MOVEit Transfer 数据库的未授权访问。通过向 MOVEit  Transfer 应用程序端点提交恶意设计的Payload,可能导致MOVEit 数据库内容泄露或被修改,该漏洞的PoC已公开。
6月16日
Progress官方
CVE-2022-32752
IBM
IBM  Security Directory Suite VA 命令注入漏洞(高危)
IBM  Security Directory Suite VA 版本8.0.1 - 8.0.1.19 中存在命令注入漏洞,经过身份验证的特权用户可以通过发送特制的请求在系统上执行任意命令。
6月16日
NVD
CVE-2023-34800
D-Link
D-Link  Go-RT-AC750命令注入漏洞(高危)
D-Link  Go-RT-AC750 固件版本revA_v101b03中通过 genacgi_main 的服务参数包含命令注入漏洞,可能导致在受影响设备上执行恶意命令,该漏洞的PoC已公开。
6月16日
NVD
CVE-2023-33306
Fortinet
Fortinet  FotiOS & FortiProxy拒绝服务漏洞(中危)
FotiOS  & FortiProxy SSL-VPN中存在空指针取消引用漏洞,经过身份验证的远程威胁者可通过特制请求触发SSL-VPN服务崩溃,造成拒绝服务。
6月19日
Fortinet官方
CVE-2023-34659
开源
Jeecg-Boot  SQL注入漏洞(高危)
Jeecg-Boot(Vue3前端)版本3.5.0和3.5.1在/jeecg-boot/jmreport/show界面的id参数存在SQL注入漏洞,可能导致在未经身份验证的情况下利用报错注入获取数据库敏感信息,该漏洞的细节已公开,可升级到Jeecg-Boot  3.5.2
6月19日
Jeecg-Boot
CVE-2022-36327
Western  Digital
Western  Digital多个产品目录遍历漏洞(严重)
Western  Digital My Cloud Home、My Cloud Home Duo、SanDisk ibi和My Cloud OS 5设备多个版本中存在目录遍历漏洞,可能导致将文件写入任意文件系统位置,从而导致远程代码执行,但该漏洞需要与其它身份验证绕过漏洞组合利用。
6月19日
互联网
CVE-2023-28975
Juniper  Networks
Juniper  Networks Junos OS拒绝服务漏洞(中危)
Juniper  Networks Junos OS多个版本中存在拒绝服务漏洞,当某些  USB 设备连接到路由引擎 (RE) 的 USB 端口时,内核将崩溃,导致设备重启。只要连接了 USB 设备,设备就会继续崩溃。
6月19日
CNVD
CVE-2023-28702
ASUS
华硕路由器命令注入漏洞(高危)
华硕 RT-AC86U 没有过滤特定网页URL中参数的特殊字符,低权限用户可远程利用该漏洞进行命令注入攻击,执行任意系统命令,导致系统中断或终止服务等。
6月20日
ASUS官方
CVE-2023-28703
ASUS
华硕路由器缓冲区溢出漏洞(高危)
华硕RT-AC86U的特定cgi功能由于对网络包头长度验证不足,导致存在基于堆栈的缓冲区溢出漏洞,具有管理员权限的远程威胁者可利用该漏洞执行任意系统命令。
6月20日
ASUS官方
CVE-2023-31195
ASUS
华硕路由器会话劫持漏洞(中危)
华硕路由器RT-AX3000固件版本3.0.0.4.388.23403之前,使用不带'Secure'属性的敏感cookies。当威胁者能够发起中间人攻击,并且用户被诱骗通过未加密('http')连接登录到受影响的设备时,用户的会话可能会被劫持。
6月20日
ASUS官方
CVE-2022-35401
ASUS
华硕路由器身份验证绕过漏洞(严重)
华硕 RT-AX82U 3.0.0.4.386_49674-ge182230 的get_IFTTTTtoken.cgi  功能中存在身份验证绕过漏洞,可以通过特制的 HTTP 请求利用该漏洞,成功利用可能获得对设备的完全管理访问。
6月20日
ASUS官方
CVE-2022-26376
ASUS
华硕路由器内存损坏漏洞(严重)
Asuswrt版本3.0.0.4.386_48706之前、Asuswrt-Merlin New Gen版本386.7之前的httpd unescape功能中存在内存损坏漏洞,可以通过发送特制HTTP请求来利用该漏洞,成功利用可能导致拒绝服务或代码执行。
6月20日
ASUS官方
CVE-2023-35823
Linux  kernel
Linux  kernel 释放后使用漏洞(中危)
Linux  kernel 6.3.2 之前在 drivers/media/pci/saa7134/saa7134-core.c  的 saa7134_finidev 中存在use-after-free漏洞,可能导致拒绝服务、代码执行或数据损坏等。
6月20日
NVD
CVE-2023-35829
Linux  kernel
Linux  kernel 释放后使用漏洞(中危)
Linux  kernel 6.3.2 之前在drivers/staging/media/rkvdec/rkvdec.c  中的 rkvdec_remove中存在use-after-free漏洞,可能导致拒绝服务、代码执行或数据损坏等。
6月20日
NVD
CVE-2023-35840
开源
elFinder路径遍历漏洞(高危)
elFinder版本< 2.1.62中在PHP LocalVolumeDriver 连接器中存在路径遍历漏洞,该漏洞源于对提供的请求参数的有效性检查不完整,可能导致信息泄露或文件写入。
6月20日
elFinder
CVE-2023-34602
开源
Jeecg-BootSQL注入漏洞(中危)
Jeecg-Boot  3.5.1及之前版本中通过org.jeecg.modules.api.controller.SystemApiController类中的queryTableDictItemsByCode方法容易受到SQL注入攻击,该漏洞已在补丁版本3.5.1中修复,目前漏洞细节已公开。
6月20日
Jeecg-Boot
CVE-2023-34603
开源
Jeecg-BootSQL注入漏洞(中危)
Jeecg-Boot  3.5.1及之前版本中通过org.jeecg.modules.api.controller.SystemApiController类中的queryFilterTableDictInfo方法容易受到SQL注入攻击,该漏洞已在补丁版本3.5.1中修复,目前漏洞细节已公开。
6月20日
Jeecg-Boot
CVE-2023-27992
Zyxel
Zyxel  NAS设备命令注入漏洞(严重)
Zyxel  多款NAS设备中存在命令注入漏洞,可能导致在未经身份验证的情况下通过发送特制HTTP请求远程执行某些系统命令,从而造成设备被破坏或被控制,该漏洞已发现被利用。
6月21日
Zyxel官方
CVE-2022-46680
Schneider  Electric
Schneider  Electric OT设备信息泄露漏洞- OT:ICEFALL(高危)
施耐德电气ION和 PowerLogic产品使用的 ION/TCP协议中存在敏感信息明文传输漏洞,如果威胁者能够拦截网络流量,则可能导致敏感信息泄露、拒绝服务或数据修改等。
6月21日
互联网
CVE-2023-1619  、CVE-2023-1620
Wago
Wago  750 控制器拒绝服务漏洞- OT:ICEFALL(中危)
使用 Codesys v2 运行时的 Wago 750 控制器中存在多个漏洞,经过身份验证的用户可以发送恶意数据包导致设备崩溃。
6月21日
互联网
CVE-2023-35005
Apache
Apache  Airflow信息泄露漏洞(低危)
Apache  Airflow版本2.5.0 - 2.6.2之前在某些情况下可能会将敏感信息显示给用户,导致信息泄露。
6月21日
Apache官方
CVE-2023-34340
Apache
Apache  Accumulo身份验证不当漏洞(高危)
Apache  Accumulo 版本2.1.0中可能无法正确验证缓存的凭据,当提供无效凭据时可能会验证成功  ,可升级到Apache Accumulo 2.1.1。
6月21日
Apache官方
CVE-2023-3220
Linux  kernel
Linux  kernel空指针取消引用漏洞(低危)
Linux  内核<= 6.1-rc8 中drivers/gpu/drm/msm/disp/dpu1/dpu_crtc.c 中的 dpu_crtc_atomic_check 缺少对 kzalloc() 返回值的检查,可能导致空指针取消引用。
6月21日
NVD
CVE-2023-32434
Apple
Apple  Kernel 权限提升漏洞(高危)
Apple  iOS、iPadOS、macOS和watchOS等多个版本/系统型号在内核中存在整数溢出漏洞,本地应用程序可以利用该漏洞以内核权限执行任意代码,该漏洞已发现被利用。
6月25日
Apple官方
CVE-2023-32439
Apple
Apple  WebKit任意代码执行漏洞(高危)
Apple  iOS、iPadOS、macOS 和 Safari WebKit 中存在类型混淆漏洞,远程威胁者可以通过诱骗受害者打开特制网页触发类型混淆错误,成功利用该漏洞可在目标系统上执行任意代码,该漏洞已发现被利用。
6月25日
Apple官方
CVE-2023-32435
Apple
Apple  WebKit任意代码执行漏洞(高危)
Apple  iOS 和 iPadOS WebKit 中存在内存损坏漏洞,当处理恶意Web 内容时可能会导致任意代码执行,该漏洞已发现被利用。
6月25日
Apple官方
CVE-2023-34981
Apache
Apache  Tomcat信息泄露漏洞
Apache  Tomcat多个受影响版本中,如果响应没有设置任何HTTP标头,则不会发送AJP SEND_HEADERS消息,这意味着至少有一个基于AJP的代理(mod_proxy_AJP)会将前一个请求的响应标头作为当前请求的响应标头,导致信息泄露。可升级到Tomcat 11.0.0-M6、10.1.9、9.0.75、8.5.89或更高版本。
6月25日
Apache官方
CVE-2023-20892
VMware
VMware  vCenter Server堆溢出漏洞(高危)
vCenter  Server中存在堆溢出漏洞,由于在实现DCERPC协议时使用了未初始化的内存,对vCenter Server具有网络访问权的恶意威胁者可利用该漏洞在承载vCenter  Server的底层系统上执行任意代码,可升级到8.0 U1b、7.0 U3m。
6月26日
VMware官方
CVE-2023-20893
VMware
VMware  vCenter Server 释放后使用漏洞(高危)
vCenter  Server在DCERPC协议的实现中存在Use-After-Free漏洞,对vCenter Server具有网络访问权的恶意威胁者可利用该漏洞在承载vCenter Server的底层系统上执行任意代码。
6月26日
VMware官方
CVE-2023-20894
VMware
VMware  vCenter Server 越界写入漏洞(高危)
vCenter  Server 在DCERPC协议的实现中存在越界写入漏洞,对vCenter Server具有网络访问权的恶意威胁者可以通过发送特制数据包来触发越界写入,从而导致内存损坏。
6月26日
VMware官方
CVE-2023-20895
VMware
VMware  vCenter Server 越界读取漏洞(高危)
vCenter  Server 在DCERPC协议的实现中存在内存损坏漏洞,对vCenter Server具有网络访问权的恶意威胁者可以触发越界读取和内存损坏,从而绕过身份验证。
6月26日
VMware官方
CVE-2023-33299
Fortinet
FortiNAC  反序列化漏洞(严重)
FortiNAC多个受影响版本中存在反序列化漏洞,可在未经身份验证的情况下通过向TCP端口1050上运行的服务发送特制请求来利用该漏洞,成功利用可能导致执行任意命令或代码,可升级到9.4.3、9.2.8、9.1.10、7.2.2或更高版本。
6月26日
Fortinet官方
CVE-2023-1943
Kubernetes
kubernetes  kops权限提升漏洞(高危)
Kops版本< v1.25.4、以及v1.26.0 - v1.26.1中,在Gossip 模式下运行的GCP Provider中存在漏洞,可以通过节点服务账户凭证来检索状态存储桶中的敏感信息,并升级到集群管理员权限。可升级到kops v1.26.2或V1.25.4。
6月26日
kops
CVE-2023-3128
开源
Grafana  身份认证绕过漏洞(严重)
Grafana根据电子邮件声明验证Azure Active Directory 帐户,但在Azure AD 上,配置文件电子邮件字段在 Azure AD 租户中并不唯一。威胁者可以创建一个与目标Grafana 账户相同的电子邮件地址的恶意帐户,利用该漏洞绕过身份验证接管目标用户的Grafana账户,从而访问敏感信息。
6月26日
Grafana官方
CVE-2023-2828
ISC
BIND拒绝服务漏洞(高危)
BIND  9多个受影响版本中,named中使用的缓存清理算法的有效性可以通过按特定顺序查询解析程序中的特定RRsets而严重降低,从而可能导致配置的max-cache-size限制被大大超过,可利用该漏洞导致拒绝服务。
6月27日
ISC官方
CVE-2023-2829
ISC
BIND拒绝服务漏洞(高危)
BIND  9多个受影响版本中,当启用  Synth-from-dnssec 时,格式错误的 NSEC 记录可能会导致named 意外终止,造成拒绝服务。
6月27日
ISC官方
CVE-2023-2911
ISC
BIND拒绝服务漏洞(高危)
如果在配置了stale-answer-enable yes;和stale-answer-client-timeout  0;的BIND 9解析器上达到了递归客户配额,一系列与服务陈旧相关的查找可能导致named循环并因堆栈溢出而意外终止。
6月27日
ISC官方
CVE-2023-34395
Apache
Apache  Airflow ODBC Provider远程代码执行漏洞(中危)
Apache  Airflow ODBC Provider 4.0.0之前存在RCE漏洞,在OdbcHook中,由于ODBC 驱动程序参数可控,可能导致加载任意的动态链接库,导致命令执行、权限提升。
6月27日
Apache官方
CVE-2023-22886
Apache
Apache  Airflow JDBC Provider远程代码执行漏洞(低危)
4.0.0  之前的Apache Airflow JDBC  Provider
Connection的[Connection URL]参数没有任何限制,导致可以通过不同类型的JDBC驱动程序进行RCE攻击,获取Airflow服务器权限。
6月27日
Apache官方
CVE-2023-35798
Apache
Apache  Airflow ODBC Provider & MSSQL Providers任意文件读取漏洞(低危)
Apache  Airflow ODBC Provider<4.0.0、 MSSQL Provider<3.4.1中存在输入验证漏洞,利用该漏洞需要DAG代码使用“get_sqlalchemy_connection”和有权访问连接资源的人专门更新连接来利用它,成功利用可能导致任意文件读取,造成信息泄露。
6月27日
Apache官方
CVE-2023-0026
Juniper
Juniper  Junos OS & Junos OS Evolved拒绝服务漏洞(高危)
Juniper  Networks Junos OS 和 Junos OS Evolved 的路由协议守护程序 (rpd) 中存在不正确的输入验证漏洞,可能导致在未经身份验证的情况下利用该漏洞导致拒绝服务。
6月27日
Juniper官方
Null
nginxWebUI
nginxWebUI  远程命令执行漏洞(高危)
nginxWebUI  <= 3.5.0中由于对用户的输入过滤不严格,可能导致在后台执行任意命令。
6月28日
互联网
CVE-2023-3420
Google
Google  Chrome V8类型混淆漏洞(高危)
114.0.5735.198之前的Google Chrome 在V8 JavaScript引擎中存在类型混淆漏洞,可以通过恶意设计的 HTML 页面触发该漏洞,成功利用可能导致浏览器崩溃或执行任意代码。
6月28日
Google官方
CVE-2023-3421、 CVE-2023-3422
Google
Google  Chrome Media & Guest View释放后使用漏洞(高危)
114.0.5735.198之前的Google Chrome在Media和Guest View中存在Use-After-Free漏洞,远程威胁者可以通过恶意设计的HTML页面利用堆损坏进行潜在的攻击,成功利用这些漏洞可能导致远程代码执行、拒绝服务或数据损坏等。
6月28日
Google官方
CVE-2023-3432
开源
PlantUML  服务器端请求伪造漏洞(高危)
PlantUML版本< 1.2023.9中存在漏洞,可利用该漏洞绕过不同安全配置文件施加的 URL  限制并执行服务器端请求伪造 (SSRF)攻击,可能导致访问受限的内部资源/服务器或向第三方服务器发送请求,该漏洞的细节及PoC已公开。
6月28日
互联网
CVE-2023-3431
开源
PlantUML访问控制不当漏洞(中危)
PlantUML版本< 1.2023.9中,当在线服务器中ALLOW_PLANTUML_INCLUDE设置为false(默认设置)时,!include处理被关闭,以防止本地文件被读取,但仍然可以通过其他功能如%load_json访问本地文件,该漏洞的细节及PoC已公开。
6月29日
互联网
CVE-2023-28424
开源
Gentoo  Soko SQL注入漏洞(严重)
Soko版本1.0.2 之前,在pkg/app/handler/packages/search.go中实现的两个包搜索处理程序search和SearchFeed容易受到通过q参数执行的SQL注入攻击,可能导致未经身份验证的威胁者在https://packages.gentoo.org/上执行任意 SQL 查询,成功利用该漏洞可能导致敏感信息泄露或在PostgreSQL 容器的上下文中执行代码。
6月29日
Soko
Null
开源
Gentoo  Soko SQL注入漏洞(严重)
Soko版本1.0.3之前,在pkg/api/graphql/resolvers/resolver.go中实现的GraphiQL解析器PackageSearch容易受到通过searchTerm参数执行的SQL注入攻击,可能导致未经身份验证的威胁者在https://packages.gentoo.org/上执行任意 SQL 查询,成功利用该漏洞可能导致敏感信息泄露或在PostgreSQL 容器的上下文中执行代码。
6月29日
Soko
CVE-2023-26258
Arcserve
Arcserve  Unified Data Protection身份验证绕过漏洞(高危)
Arcserve  UDP 7.0 - 9.0中存在身份验证绕过漏洞,本地威胁者可以通过拦截包含 AuthUUID 的 SOAP 请求来获取有效的管理员会话,从而获得易于解密的管理员凭据后访问 UDP 管理界面。该漏洞已在UDP 9.1中修复, 目前PoC/EXP已公开。
6月29日
互联网
CVE-2023-3390
Linux  kernel
Linux  kernel释放后使用漏洞(高危)
Linux  内核的 netfilter 子系统(net/netfilter/nf_tables_api.c)中存在释放后使用漏洞,由于NFT_MSG_NEWRULE的错误路径处理,可能导致在同一事务中使用悬空指针,从而导致释放后使用,具有访问权限的本地用户可利用该漏洞提升权限。
6月29日
NVD
CVE-2023-34733
Volkswagen
VolkswagenDiscover  Media信息娱乐系统拒绝服务漏洞(中危)
Volkswagen(大众汽车)Discover Media信息娱乐系统软件版本0876中缺乏异常处理,在将设备连接到车辆的USB即插即用功能时,可以通过提供恶意制作的媒体文件造成拒绝服务。该漏洞已知影响了大众捷达 2021,目前PoC已公开。
6月29日
Github
CVE-2023-36475
开源
Parse  Server远程代码执行(严重)
Parse  Server版本5.5.2和6.2.1之前,由于对用户控制的参数缺乏过滤,当MongoDB BSON解析器解析恶意构造的BSON数据时易受原型污染的影响,可利用该漏洞远程执行任意代码。
6月30日
Parse  Server
CVE-2023-2982
miniOrange
WordPress  社交登录和注册插件身份验证绕过漏洞(严重)
WordPress  社交登录和注册(Discord、Google、Twitter、LinkedIn)插件版本<= 7.6.4中存在身份验证绕过漏洞,由于在通过插件验证登录期间提供的用户加密不足,可能导致未经身份验证的威胁者以网站上任何用户的身份登录,可升级到版本7.6.5。
6月30日
互联网
CVE-2023-0014
SAP
SAP多个产品未授权访问漏洞(严重)
SAP  NetWeaver AS for ABAP 和ABAP Platform多个受影响版本中以模糊的格式创建有关系统身份的信息,可能导致捕获重放漏洞,并可能被恶意用户利用以获得对系统的非法访问。
6月30日
互联网
CVE-2023-35843
开源
NocoDB路径遍历漏洞(高危)
NocoDB  版本<= 0.109.1中存在路径遍历漏洞,可能导致在未经身份验证的情况下通过操纵/download 路由的路径参数来访问服务器上的任意文件,造成敏感信息泄露。
6月30日
NVD
CNVD-2022-05486
畅捷通
畅捷通远程通SQL注入漏洞(高危)
畅捷通信息技术股份有限公司远程通CHANJET_Remote 2018 V6.4.8.90和远程通CHANJET_Remote  2019 V6.4.8.90存在SQL注入漏洞,可利用该漏洞获取数据库敏感信息。
6月30日
CNVD
CVE-2023-3424
GitLab
GitLab  ReDoS漏洞(高危)
GitLab  CE/EE 版本10.3 - 15.11.10 之前、16.0 -16.0.6 之前、16.1 - 16.1.1 之前,通过向preview_markdown端点发送恶意制作的Payload,可能导致正则表达式拒绝服务。
6月30日
GitLab


0x02 文档下载

其中,部分漏洞已发布相关安全公告,可在公众号【启明星辰安全应急响应中心】或【维他命安全】查看详情。

文档共享链接:https://www.aliyundrive.com/s/wCZ6JkTFaeq(提取码:a28e)

【风险通告】2023年6月重点关注的漏洞

0x03 附件

附件-2022年常被利用的5个漏洞

CVE
名称
描述
CVE-2022-30190
Microsoft Windows MSDT 远程代码执行漏洞(Follina)
当从 Word 等应用程序使用  URL 协议调用 MSDT 时存在代码执行漏洞,可以通过制作恶意的Office文档并诱使用户在受影响的系统上打开,在宏被禁用的情况下,仍可通过 'ms-msdt'  URI执行任意PowerShell代码,当恶意文件保存为RTF格式时甚至无需受害者打开文件,即可通过资源管理器中的预览窗格在目标系统上执行任意代码。
CVE-2022-26134
Confluence远程代码执行漏洞
Confluence Server 和 Data Center 某些版本中存在 OGNL 注入漏洞,该漏洞可能导致在未经身份验证的情况下,通过发送恶意的Web请求注入命令,实现在受影响的Confluence Server 或 Data Center 实例上执行任意代码。
CVE-2022-22954
VMware  Workspace  ONE Access & Identity Manager远程代码执行漏洞
VMware  Workspace  ONE Access 和Identity Manager 存在一个由于服务器端模板注入而导致的远程代码执行漏洞,可通过特制的HTTP请求来利用该漏洞。
CVE-2022-1040
Sophos Firewall身份验证绕过漏洞
Sophos Firewall 版本<= 18.5 MR3的用户门户和 Webadmin 中存在身份验证绕过漏洞,可利用该漏洞绕过认证并执行任意代码。
CVE-2022-24521
Windows 通用日志文件系统驱动程序权限提升漏洞
Windows 通用日志文件系统(CLFS)驱动程序中存在权限提升漏洞,该漏洞的攻击复杂度和所需权限低,无需用户交互即可被本地利用。
参考链接:https://www.qualys.com/docs/qualys-2023-trurisk-threat-research-report.pdf

附件-通用安全建议

A.漏洞和配置管理
  1. 1.    及时更新 IT 网络资产上的软件、操作系统、应用程序和固件,优先修复已知被利用或正在被利用的漏洞、以及影响较为严重的漏洞。若漏洞暂无可用补丁,请根据实际情况应用供应商提供的临时缓解措施或相关防护措施。
  2. 2.    建议使用集中的补丁管理系统。
  3. 3.    更换寿命终止的软件,即供应商不再提供支持的软件。
  4. 4.    无法对面向 Internet 的系统执行快速扫描和修补的组织应考虑将这些服务转移到成熟的、有信誉的云服务提供商 (CSP) 或其他托管服务提供商 (MSP)。但由于MSP和CSP扩大了客户组织的攻击面,并可能引入意料之外的风险,组织应积极主动地与MSP和CSP合作,共同降低这种风险。
B.身份和访问管理
  1. 1.     对所有用户强制执行多因素身份验证(MFA),无一例外。
  2. 2.     在所有 VPN 连接上强制执行 MFA。如果 MFA 不可用,则要求从事远程工作的员工使用强密码。
  3. 3.     定期审查、验证或删除特权帐户(至少每年一次)。
  4. 4.     在最小权限原则的概念下配置访问控制。
C.保护控制和架构
  1. 1.     正确配置和保护面向互联网的网络设备,禁用未使用或不必要的网络端口和协议,加密网络流量,并禁用未使用的网络服务和设备。

(1)加强防护通常被利用的企业网络服务,包括链接本地多播名称解析(LLMN)协议、远程桌面协议(RDP)、通用互联网文件系统(CIFS)、Active Directory和OpenLDAP。

(2)管理 Windows 密钥分发中心 (KDC) 帐户(例如,KRBTGT)以最大限度地减少Golden Ticket attacks(黄金票据)和 Kerberoasting。

(3)严格控制本地脚本应用程序的使用,例如命令行、PowerShell、WinRM、Windows Management Instrumentation (WMI) 和分布式组件对象模型 (DCOM)。

  1. 2.     通过控制对应用程序、设备和数据库的访问,对网络进行分段以限制或阻止横向移动。使用私有虚拟局域网。
  2. 3.     持续监控攻击面并调查可能表明攻击者或恶意软件横向移动的异常活动。

(1)使用安全工具,如端点检测和响应(EDR)以及安全信息和事件管理(SIEM)工具。考虑使用信息技术资产管理(ITAM)解决方案,以确保EDR、SIEM、漏洞扫描器等报告相同数量的资产。

(2)监视环境中是否存在可能不需要或有害的程序。

  1. 4.     减少第三方应用程序和独特的系统/应用程序的构建;只有在需要支持业务关键功能时才提供例外。
  2. 5.     实施应用程序许可名单。

相关链接

2021年上半年针对Linux的常用漏洞TOP15
2020-2021年 30个常被利用的漏洞
2016-2019 年最常被利用的10个漏洞
Apache Log4j 漏洞指南
2022 CWE Top 25软件缺陷
2023 OWASP API Security Top 10
2023 CWE Top 25软件缺陷
CISA 、NSA、ONDI:适用于开发人员的软件供应链安全指南

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2023年7月5日18:51:57
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   【风险通告】2023年6月重点关注的漏洞https://cn-sec.com/archives/1855402.html

发表评论

匿名网友 填写信息