OpenLiteSpeed Web Server多个安全漏洞

1. 通告信息

近日，安识科技A-Team团队监测到OpenLiteSpeed Web Server和企业版LiteSpeed Web Server中多个漏洞的细节，这些漏洞可能导致信息泄露、权限提升和远程代码执行。

对此，安识科技建议广大用户及时升级到安全版本，并做好资产自查以及预防工作，以免遭受黑客攻击。

2. 漏洞概述

漏洞名称：OpenLiteSpeed目录遍历漏洞

CVE编号：CVE-2022-0072

简述：OpenLiteSpeed Web Server和LiteSpeed Web Server仪表板中存在目录遍历漏洞，可能导致绕过安全措施并访问被禁止的文件。

漏洞名称：OpenLiteSpeed远程代码执行漏洞

CVE编号：CVE-2022-0073

简述：OpenLiteSpeed Web Server和LiteSpeed Web Server管理仪表板容易受到命令注入漏洞的影响，获得仪表板凭据的恶意用户可以利用该漏洞在服务器上执行代码。

漏洞名称：OpenLiteSpeed权限提升漏洞

CVE编号：CVE-2022-0074

简述：OpenLiteSpeed Web Server和LiteSpeed Web Server容器中存在不受信任的搜索路径漏洞，可能导致权限提升为root。

3. 漏洞危害

OpenLiteSpeed是LiteSpeed Technologies 开发的高性能、轻量级的开源 HTTP 服务器，它是LiteSpeed Web Server Enterprise的开源版本。

OpenLiteSpeed Web Server及其企业版中存在3个漏洞，可以通过组合利用这些漏洞远程执行代码并将权限提升为root。

4. 影响版本

目前受影响的OpenLiteSpeed Web Server和LiteSpeed Web Server版本：

1.5.11 <= OpenLiteSpeed Web Server <= 1.7.16

5. 时间轴

【-】2022年11月14日 安识科技A-Team团队监测到漏洞公布信息

【-】2022年11月15日 安识科技A-Team团队根据漏洞信息分析

【-】2022年11月16日 安识科技A-Team团队发布安全通告