根据国家信息安全漏洞库（CNNVD）统计，本周（2021.2.1~2021.2.7）CNNVD接报漏洞2227个，其中信息技术产品漏洞（通用型漏洞）99个，网络信息系统漏洞（事件型漏洞）2128个。（数据来源于CNNVD）
本周重点关注漏洞包括 CVE-2020-17523- Apache Shiro身份认证绕过漏洞、Windows Installer 本地权限提升漏洞、CVE-2021-25646- Apache Druid 远程代码执行漏洞、CVE-2021-21287- MinIO 服务端请求伪造漏洞、CVE-2021-20016- SonicWall SSL-VPN SMA 未授权接管漏洞、SolarWinds 多个高危漏洞、Apache Skywalking远程代码执行漏洞。漏洞影响范围较广，华云安建议相关用户做好资产自查与预防工作。
CVE-2020-17523- Apache Shiro身份认证绕过漏洞
发布时间：2021年2月1日
2021年2月1日，Apache Shiro 发布了 Apache Shiro 验证绕过漏洞的安全通告。Apache Shiro 是一个开源安全框架，拥有身份验证、授权、加密和会话管理的功能。低于1.7.1版本的 Apache Shiro 在与 Spring 框架结合使用时，在一定权限匹配规则下，攻击者可以通过构造特定的 HTTP 请求包绕过身份认证，从而访问未授权资源。
情报来源：
https://shiro.apache.org/security-reports.html
Windows Installer 本地权限提升漏洞
发布时间：2021年2月1日
2021年2月1日，Windows Installer提权漏洞的EXP在互联网公开，该漏洞为 CVE-2020-16902 的补丁绕过。Windows Installer 程序中存在漏洞，允许攻击者在安装过程中自定义回滚脚本的执行路径，进而导致Windows使用高权限执行该目标程序，完成权限提升。
情报来源：
https://blog.0patch.com/2021/01/windows-installer-local-privilege.html
CVE-2021-25646- Apache Druid 远程代码执行漏洞
发布时间：2021年2月1日
Apache Druid官方发布安全更新，修复了Apache Druid 远程代码执行漏洞。Apache Druid 是用Java编写的面向列的开源分布式数据存储，旨在快速获取大量事件数据，并在数据之上提供低延迟查询。由于 Apache Druid 默认情况下缺乏授权认证，攻击者可直接构造恶意请求执行任意代码，从而控制服务器。
情报来源：
https://github.com/apache/druid/releases/tag/druid-0.20.1
CVE-2021-21287- MinIO 服务端请求伪造漏洞
发布时间：2021年2月3日
2021 年 1 月 27 日，华云安安全团队发现 IBM 官方发布安全更新，修复了 WebSphere Application Server（WAS）中的一个 XML 外部实体注入（XXE）漏洞。WebSphere Application Server 是企业级 Web 中间件，由于其可靠、灵活和健壮的特点，被广泛应用于企业的 Web 服务中。该漏洞是在处理 XML 数据时，IBM WebSphere Application Server 容易受到 XML外部实体注入（XXE）攻击。远程攻击者可能利用此漏洞来泄露敏感信息或消耗内存资源。
情报来源：
https://blog.min.io/security-advisory-5/
CVE-2021-20016- SonicWall SSL-VPN SMA 未授权接管漏洞
发布时间：2021年2月4日
2021年2月4日，SonicWall 官方发布了 SMA 产品的风险通告，SonicWall SSL-VPN SMA100 产品中存在一处严重的程序逻辑错误，在未通过身份验证的情况下允许攻击者构造请求影响内部进行身份验证的 SQL 查询，导致未授权登录。攻击者能够在未授权的情况下通过网络链接直接接管相应设备的控制权限。
情报来源：
https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2021-0001
SolarWinds 多个高危漏洞
发布时间：2021年2月4日
国外安全研究团队披露 SolarWinds 产品存在远程代码执行漏洞、敏感信息泄漏漏洞、安全配置错误漏洞等多个高危漏洞。SolarWindsInc. 是一家为企业提供软件以帮助管理其网络，系统和信息技术基础架构的公司。此次漏洞影响范围较广，华云安建议用户及时修复更新。
情报来源：
Apache Skywalking远程代码执行漏洞
发布时间：2021年2月7日
2021年2月7日，Apache Skywalking 官方发布安全更新公告，修复了 Apache Skywalking SQL 注入与远程代码执行漏洞。Apache SkyWalking 是一款应用性能监控（APM）工具，对微服务、云原生和容器化应用提供自动化、高性能的监控方案。Apache SkyWalking 的某GraphQL 功能存在 SQL 注入漏洞，攻击者可以构造恶意请求查询数据库敏感信息，或利用 H2 数据库特性进一步造成远程代码执行。
情报来源：
https://skywalking.apache.org/events/release-apache-skywalking-apm-8-4-0/
华云安
华云安是一家面向网络空间安全领域，专注于漏洞研究、攻防对抗、产品研发、安全服务的高新技术企业。公司在漏洞管理和威胁治理方面具备深厚的技术积累。拥有灵洞自适应威胁与漏洞管理系统、灵刃智能化渗透攻防系统等网络安全产品及服务，为政府、金融、能源、教育、医疗等行业，提供集网络安全情报采集分析能力、 关键信息基础设施防御能力、网络安全反制能力于一体的新一代云原生安全产品解决方案。实现威胁管理、攻击模拟、溯源分析、端点防御等一体化安全运营管理能力。华云安致力于为新形势下的网络安全和关键信息基础设施保护作出自身的贡献！
来源：freebuf.com 2021-02-22 11:08:07 by: 华云安huaun
请登录后发表评论
注册