根据国家信息安全漏洞库（CNNVD）统计，本周（2021.1.11~2021.1.17）CNNVD接报漏洞7951个，信息技术产品漏洞（通用型漏洞）123个，网络信息系统漏洞（事件型漏洞）7828个，其中华云安报送223个，漏洞报送数量持续位居前列。（数据来源于CNNVD）
本周重点关注漏洞包括Chrome多个安全漏洞、Alibaba Nacos未授权访问漏洞、Microsoft多个安全漏洞、CVE-2021-1647-Microsoft Defender远程代码执行漏洞、CVE-2021-3129-Laravel远程代码执行漏洞、CVE-2021-1158-Cisco输入验证错误漏洞、JumpServer远程命令执行漏洞。漏洞影响范围较广，华云安建议相关用户做好资产自查与预防工作。
Chrome多个安全漏洞
发布时间：2021年1月12日
Google发布了Chrome安全更新的风险通告，涵盖了16处安全漏洞，其中包括12个高危漏洞。涉及autofill、drag and drop、media、payments、safe browsing、webui、blink、skia、networking、audio、v8、safe browsing、audio等多个组件，远程攻击者可以通过精心制作的HTML页面利用堆破坏，最终导致任意代码执行。
情报来源：
https://chromereleases.googleblog.com/2021/01/stable-channel-update-for-desktop.html
Alibaba Nacos未授权访问漏洞
发布时间：2021年1月12日
Nacos官方在github发布的issue中披露Alibaba Nacos存在一个未授权访问漏洞。Nacos是构建以“服务”为中心的现代应用架构的服务基础设施。该漏洞是由于不当处理User-Agent触发，攻击者成功利用漏洞可执行任意操作，包括创建新用户并进行登录后操作。
情报来源：
https://github.com/alibaba/nacos
Microsoft多个安全漏洞
发布时间：2021年1月13日
2021年1月13日，微软发布了安全更新，本次更新共包括83个CVE的补丁程序，相比上月增加了25个。本次更新涉及Microsoft Windows，Microsoft SharePoint Foundation、Microsoft SharePoint Server等组件和软件的多个版本。在漏洞安全等级方面，有10个漏洞被微软官方标记为“Critical”，71个漏洞被标记为“Important”；在漏洞类型方面，有24个远程代码执行漏洞，32个权限提升漏洞以及11个信息泄露漏洞。
情报来源：
https://msrc.microsoft.com/update-guide/releaseNote/2021-Jan
CVE-2021-1647-Microsoft Defender远程代码执行漏洞
发布时间：2021年1月13日
2021年1月13日，Microsoft官方发布了Microsoft Defender缓冲区溢出漏洞的风险通告， 由于Microsoft Defender在扫描文件的过程中存在内存损坏漏洞，攻击者通过构造特殊PE格式的文件，使得Microsoft Defender在对该文件进行解析的时候，产生缓冲区溢出，从而造成远程代码执行。
情报来源：
https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2021-1647
CVE-2021-3129-Laravel远程代码执行漏洞
发布时间：2021年1月13日
2021年1月13日，Laravel被曝出存在远程代码执行漏洞。Laravel是一个免费的开源PHP Web框架，旨在实现的Web软件的MVC架构。攻击者可以发起恶意的请求构造恶意的日志文件，再通过phar协议去访问日志触发php反序列化漏洞，造成命令执行。
情报来源：
https://www.ambionics.io/blog/laravel-debug-rce
CVE-2021-1158-Cisco输入验证错误漏洞
发布时间：2021年1月14日
2021年1月14日，Cisco官方披露了RV110W、RV130、RV130W等多款路由器存在输入验证错误漏洞。该漏洞是由于基于Web的管理界面进行的输入验证不足所致。攻击者可以通过将精心制作的HTTP请求发送到受影响的设备来利用这些漏洞。成功的利用可能使攻击者可以在受影响的界面的上下文中执行任意脚本代码，或访问敏感的基于浏览器的信息。
情报来源：
JumpServer远程命令执行漏洞
发布时间：2021年1月15日
2021年1月15日，JumpServer官方发布漏洞安全通告，披露了JumpServer组件存在远程代码执行漏洞。Jumpserver是全球首款完全开源、符合4A规范的运维安全审计系统，Jumpserver通过软件订阅服务或者软硬件一体机的方式，向企业级用户交付多云环境下更好用的堡垒机。由于JumpServer的某些接口未做授权限制，允许攻击者通过精心构造的请求获取日志文件等敏感信息，并能通过相关操作API执行任意命令。
情报来源：
https://github.com/jumpserver/jumpserver/blob/master/README.md
华云安与您一起，时刻关注安全威胁。
华云安
华云安是一家面向网络空间安全领域，专注于漏洞研究、攻防对抗、产品研发、安全服务的高新技术企业。公司在漏洞管理和威胁治理方面具备深厚的技术积累。拥有灵洞自适应威胁与漏洞管理系统、灵刃智能化渗透攻防系统等网络安全产品及服务，为政府、金融、能源、教育、医疗等行业，提供集网络安全情报采集分析能力、 关键信息基础设施防御能力、网络安全反制能力于一体的新一代云原生安全产品解决方案。实现威胁管理、攻击模拟、溯源分析、端点防御等一体化安全运营管理能力。华云安致力于为新形势下的网络安全和关键信息基础设施保护作出自身的贡献！
https://vti.huaun.com/index/
来源：freebuf.com 2021-01-21 10:34:57 by: 华云安huaun
请登录后发表评论
注册