0x00 风险概述

2022年1月10日，CISA将15个已知漏洞添加到被利用的安全漏洞目录中，这些漏洞涉及VMware、Microsoft、Oracle、Fortinet、Google和海康威视等。

0x01 攻击详情

CISA本次新增的15个漏洞都是已知被积极利用的安全漏洞，对企业和组织构成了重大风险，15个漏洞如下：

部分漏洞详情如下：

• CVE-2021-22017：VMware vCenter Server 访问控制不当漏洞

由于URI 规范化实施不当，vCenter Server 中使用的 Rhttproxy存在绕过漏洞，能够访问 vCenter Server 上的 443 端口的攻击者可以利用此漏洞绕过代理，从而访问内部端点。该漏洞的CVSSv3 评分最高为7.3。vCenterServer 7.0不受此漏洞影响。

参考链接：

https://www.vmware.com/security/advisories/VMSA-2021-0020.html

• CVE-2021-36260：海康威视输入验证错误漏洞

部分海康威视产品的Web服务器中的命令注入漏洞。由于输入验证不充分，攻击者可以利用该漏洞通过发送一些带有恶意命令的消息来发起命令注入攻击。该漏洞的CVSSv3评分为9.8。

参考链接：

https://www.hikvision.com/en/support/cybersecurity/security-advisory/security-notification-command-injection-vulnerability-in-some-hikvision-products/

• CVE-2021-27860：FatPipe WARP、IPVPN 和 MPVPN 权限提升漏洞

10.1.2r60p92和10.2.2r44p1版本之前的FatPipe WARP、IPVPN和MPVPN软件的web管理界面存在安全漏洞，未经身份认证的远程攻击者能够将文件上传到文件系统的任意位置。该漏洞的CVSSv3 评分最高为9.8。

https://nvd.nist.gov/vuln/detail/CVE-2021-27860

• CVE-2020-6572：Google Chrome Use-After-Free漏洞

81.0.4044.92 之前的 Google Chrome Media中的Use-After-Free漏洞允许远程攻击者通过恶意制作的 HTML 页面执行任意代码。该漏洞的CVSSv3评分为8.8。

参考链接：

https://chromereleases.googleblog.com/2020/04/stable-channel-update-for-desktop_7.html

• CVE-2019-1458：Microsoft Win32K 特权提升漏洞

当 Win32k 组件无法正确处理内存中的对象时，Windows 中存在特权提升漏洞。该漏洞的CVSSv3评分为7.8。

 参考链接：

https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2019-1458

• CVE-2019-2725：Oracle WebLogic Server 注入漏洞

该漏洞是Oracle WebLogic Server中的一个反序列化漏洞，影响了10.3.6.0和12.1.3.0版本，其CVSSv3评分为9.8。该漏洞无需身份验证即可远程利用，成功利用此漏洞可导致Oracle WebLogic Server 被接管。

参考链接：

https://www.oracle.com/security-alerts/alert-cve-2019-2725.html

• CVE-2018-13382：Fortinet FortiOS 和 FortiProxy 授权不当漏洞

SSL VPN门户网站的授权不当漏洞允许未经认证的攻击者通过恶意HTTP请求改变SSL VPN门户网站用户的密码，该漏洞的CVSSv3评分为9.1。该漏洞已在FortiOS 5.4.11、5.6.9、6.0.5、6.2.0 或更高版本中修复。

参考链接：

https://www.fortiguard.com/psirt/FG-IR-18-389

• CVE-2019-1579：Palo Alto Networks PAN-OS 远程代码执行漏洞

Palo Alto Networks 的GlobalProtect 门户和 GlobalProtect 网关接口产品中存在远程代码执行 (RCE) 漏洞，成功利用此漏洞允许未经身份验证的攻击者执行任意代码。该漏洞的CVSSv3评分为8.1，该漏洞已在PAN-OS 7.1.19 及更高版本、PAN-OS 8.0.12 及更高版本以及 PAN-OS 8.1.3 及更高版本中修复。

参考链接：

https://security.paloaltonetworks.com/CVE-2019-1579

• CVE-2019-10149：Exim 邮件传输代理 (MTA) 不正确的输入验证漏洞

Exim 4.87-4.91（包括）版本中存在安全问题，在/src/deliver.c的deliver_message()函数中对收件人地址验证不当，可能导致远程命令执行。该漏洞的CVSSv3 评分最高为9.8。

参考链接：

https://www.exim.org/static/doc/security/CVE-2019-10149.txt

• CVE-2019-7609：Elastic Kibana 远程代码执行漏洞

5.6.15和6.6.1之前的Kibana版本在Timelion可视化器中包含一个任意代码执行漏洞，能够访问Timelion应用程序的攻击者可以发送恶意请求执行javascript代码。这可能会导致攻击者以主机系统上Kibana进程的权限执行任意命令。该漏洞的CVSSv3 评分为10.0。

参考链接：

https://nvd.nist.gov/vuln/detail/CVE-2019-7609

此外，2021 年 12 月 15 日，CISA还添加了如下2个已知漏洞到被利用目录列表中：

• CVE-2021-43890：Microsoft Windows AppX 安装程序欺骗漏洞

• CVE-2021-4102：Google Chromium V8 引擎 Use-After-Free 漏洞

CISA发布的完整漏洞列表如下：

https://www.cisa.gov/known-exploited-vulnerabilities-catalog

0x02 风险等级

高危。

0x03 影响范围

这些漏洞都是已知的被利用的安全漏洞，具有潜在的安全风险。

0x04 安全建议

建议根据参考链接或漏洞目录列表积极修复已知被利用的漏洞，以保护信息系统并降低网络安全风险。

0x05 参考链接

https://www.cisa.gov/uscert/ncas/current-activity/2022/01/10/cisa-adds-15-known-exploited-vulnerabilities-catalog

https://www.cisa.gov/known-exploited-vulnerabilities-catalog

0x06 版本信息

0x07 附录

往期推荐：

【风险通告】CISA 2021年已知被利用的漏洞列表（四）

【风险通告】CISA 2021年已知被利用的漏洞列表（三）

【风险通告】 CISA更新2021年已知被利用的漏洞列表

原文始发于微信公众号（维他命安全）：【风险通告】CISA 2022已知被利用的漏洞列表（五）