雷神众测漏洞周报2021.02.22-2021.02.28-5

  • A+
所属分类:安全新闻

声明

以下内容,均摘自于互联网,由于传播,利用此文所提供的信息而造成的任何直接或间接的后果和损失,均由使用者本人负责,雷神众测以及文章作者不承担任何责任。

雷神众测拥有该文章的修改和解释权。如欲转载或传播此文章,必须保证此文章的副本,包括版权声明等全部内容。声明雷神众测允许,不得任意修改或增减此文章内容,不得以任何方式将其用于商业目的。


目录

1. VMware 多个高危漏洞

2. SaltStack 多个高危漏洞

3. 泛微e-office存在SQL注入漏洞

4. ECShop接口存在SQL注入漏洞

5. 极域电子教室管理系统豪华版存在逻辑缺陷漏洞


漏洞详情

1.VMware 多个高危漏洞


漏洞介绍:
VMware是一家云基础架构和移动商务解决方案厂商,提供基于VMware的虚拟化解决方案。


漏洞危害:
在 CVE-2021-21972 VMware vCenter Server 远程代码漏洞 中,攻击者可直接通过443端口构造恶意请求,执行任意代码,控制vCenter。


在 CVE-2021-21974 VMware ESXI 堆溢出漏洞 中,攻击者可通过427端口构造恶意请求,触发OpenSLP服务中的堆溢出漏洞,并可能导致远程代码执行。


在 CVE-2021-21973 VMware vCenter Server SSRF漏洞 中,攻击者可通过443端口发送恶意POST请求,发起内网扫描,造成SSRF漏洞。


漏洞编号:
CVE-2021-21972
CVE-2021-21974
CVE-2021-21973


影响范围:
VMware vCenter Server 7.0系列 < 7.0.U1c
VMware vCenter Server 6.7系列 < 6.7.U3l
VMware vCenter Server 6.5系列 < 6.5 U3n
VMware ESXi 7.0系列 < ESXi70U1c-17325551
VMware ESXi 6.7系列 < ESXi670-202102401-SG
VMware ESXi 6.5系列 < ESXi650-202102101-SG


修复方案:
及时测试并升级到最新版本或升级版本


来源: 阿里云先知

2. SaltStack 多个高危漏洞


漏洞介绍:

SaltStack是基于Python开发的一套C/S架构配置管理工具。


漏洞危害:

在 CVE-2021-25283 SaltAPI 模板注入漏洞中,由于 wheel.pillar_roots.write 存在目录遍历,攻击者可构造恶意请求,造成jinja模板注入,执行任意代码。


在 CVE-2021-25281 SaltAPI wheel_async未授权访问漏洞中,攻击者可构造恶意请求,通过wheel_async调用master的wheel插件。


在 CVE-2021-3197 SaltAPI SSH 命令注入中,由于Salt-API SSH 客户端过滤不严,攻击者可通过ProxyCommand等参数造成命令执行。


漏洞编号:

CVE-2021-25283

CVE-2021-25281

CVE-2021-3197


影响范围:

SaltStack < 3002.5

SaltStack < 3001.6

SaltStack < 3000.8


修复建议:

及时测试并升级到最新版本或升级版本


来源:阿里云先知

3. 泛微e-office存在SQL注入漏洞


漏洞介绍:

泛微e-office办公是泛微旗下的一款标准协同移动办公平台。


漏洞危害:

泛微e-office存在SQL注入漏洞,攻击者可利用该漏洞获取数据库敏感信息。


影响范围:

上海泛微网络科技股份有限公司 e-office <=9


修复建议:

及时测试并升级到最新版本或升级版本


来源:CNVD

4. ECShop接口存在SQL注入漏洞


漏洞介绍:

ECShop是一款B2C独立网店系统,适合企业及个人快速构建个性化网上商店。


漏洞危害:

ECShop接口存在SQL注入漏洞。攻击者可利用该漏洞获取数据库敏感信息。


影响范围:

商派软件有限公司 ECShop 4.1


修复建议:

及时测试并更新最新补丁


来源:CNVD

5. 极域电子教室管理系统豪华版存在逻辑缺陷漏洞


漏洞介绍:

极域电子教室管理系统是一款教学系统。


漏洞危害:

极域电子教室管理系统豪华版存在逻辑缺陷漏洞,攻击者可利用该漏洞执行高权限系统命令。


影响范围:

南京极域信息科技有限公司 电子教室管理系统 V6.0 2016


修复建议:

及时测试并更新最新补丁


来源:CNVD


雷神众测漏洞周报2021.02.22-2021.02.28-5

专注渗透测试技术

全球最新网络攻击技术


END

雷神众测漏洞周报2021.02.22-2021.02.28-5

本文始发于微信公众号(雷神众测):雷神众测漏洞周报2021.02.22-2021.02.28-5

发表评论

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: