近期需要关注的 12 个漏洞 - 网安 - 专业的网络安全产业、社区、知识平台

CVE-2019-0230 Struts远程代码执行漏洞

漏洞描述

CVE-2019-0230漏洞，与S2-029、S2-036漏洞相似，在Struts 2.0.0版本的double evaluation机制中，当在Struts标签属性内强制执行OGNL evaluation时存在被恶意注入OGNL表达式的风险，从而实现代码执行效果，该漏洞实际已在2019年11月发布的2.5.22版本中修复。

CVE-2019-0233漏洞，在将文件上传到使用getter暴露文件的Action时，恶意攻击者可以操纵该请求，从而实现拒绝服务效果，在实际利用场景中，可以将上传文件的工作副本甚至容器临时上传目录设置为只读访问，这将导致对文件或文件上载的后续操作失败并显示错误。

影响版本

OGNL表达式注入的远程代码执行漏洞（CVE-2019-0230）和拒绝服务漏洞（CVE-2019-0233）影响以下版本：

Struts 2.0.0-Struts 2.5.20，建议更新到Struts 2.5.22以上版本

官方下载地址：struts.apache.org/download.cgi

GitHub下载地址：github.com/apache/struts/releases

修复建议

高危：目前漏洞细节和利用代码已经部分公开，参考S2-029、S2-036的利用应该很快会出现利用代码，建议及时测试并升级到漏洞修复的版本，或部署必要的安全防护设备拦截恶意攻击代码。

安全开发和安全运营建议：

基于Struts 2的开发不要在标签属性中使用％{…}语法引用未经验证的用户可修改输入；除了Struts 2，近期还应该及时关注Tomcat、Weblogic、WebSphere、JBOSS、Spirng FrameWork、Shiro、CAS、Fastjson等服务和框架组件的漏洞公告。

来源

https://mp.weixin.qq.com/s/8sz6X8nMC84DE3a...

CVE-2020-11995 Apache Dubbo远程代码执行

漏洞描述

Apache Dubbo默认反序列化协议Hessian2被曝存在代码执行漏洞，攻击者可利用漏洞构建一个恶意请求达到远程代码执行的目的。

Apache Dubbo 是一种基于 Java 的高性能 RPC 框架。该项目最初由阿里巴巴开发，于 2011 年开源，并于 2018 年 2 月进入 Apache 孵化器，它提供了三大核心能力：面向接口的远程方法调用，智能容错和负载均衡，以及服务自动注册和发现目前被多家公司采用，包括阿里巴巴集团、中国人寿、中国电信、当当网、滴滴出行、海尔和中国工商银行等。

影响版本

Dubbo 2.7.0 ~ 2.7.7
Dubbo 2.6.0 ~ 2.6.8
Dubbo 所有 2.5.x 版本 (官方已不再提供支持)

修复建议

尽快升级Apache Dubbo到安全版本

来源

https://s.tencent.com/research/bsafe/1090....
https://mp.weixin.qq.com/s/g3xzAyJXsgfw8Ln...

CVE-2020-13933 Apache Shiro 权限绕过漏洞

漏洞描述

CVE-2020-13933漏洞，漏洞基于Apache Shiro 1.5.3版本的不完全修复，恶意攻击者可以通过构造行特殊编码的请求绕过身份验证，从而突破原本受限的权限。

安恒应急响应中心已验证该漏洞的可利用性，建议及时更新

影响版本

Apache Shiro身份验证绕过漏洞（CVE-2020-13933）影响以下版本：

Apache Shiro 1.6.0之前版本，建议更新到1.6.0或以上版本

官方下载地址：
shiro.apache.org/download.html

GitHub更新版本地址：
github.com/apache/shiro/releases

修复建议

高危：目前漏洞细节和利用代码虽暂未公开，但可以通过补丁对比方式逆向分析出漏洞触发点，并进一步开发出漏洞利用代码，建议及时测试并更新到漏洞修复的版本，或部署必要的安全防护设备拦截恶意攻击代码。

安全开发和安全运营建议：

除了Shiro，近期还应该及时关注Tomcat、Weblogic、WebSphere、JBOSS、Spirng FrameWork、Struts 2、CAS、Fastjson等服务和框架组件的漏洞公告。

来源

https://www.cnvd.org.cn/flaw/show/CNVD-202...

https://mp.weixin.qq.com/s/CokC-zx5A1_pLWy...

CVE-2020-4450 WebSphere 远程代码执行漏洞

漏洞描述

2020年6月15日，IBM官方发布了针对CVE-2020-4450漏洞的防御补丁。漏洞产生的原因是IBM WebSphere Application Server可以允许远程攻击者通过iiop协议传输精心构造的序列化数据，在系统上执行任意代码。

影响版本

WebSphere Application Server: 9.0.0.0 to 9.0.5.4
WebSphere Application Server: 8.5.0.0 to 8.5.5.17
WebSphere Application Server: 8.0.0.0 to 8.0.0.15
WebSphere Application Server: 7.0.0.0 to 7.0.0.45

修复建议

官方已经针对此漏洞发布补丁，请受影响的用户按照以下方式进行修复：

WebSphere Application Server 9.0：更新安全补丁PH25074，或者升级到9.0.5.5及更高版本。
WebSphere Application Server 8.5：更新安全补丁PH25074，或者升级到8.5.5.18及更高的版本。

来源

https://www.zerodayinitiative.com/blog/202...

https://mp.weixin.qq.com/s/cG8onNoNsYWGZNQ...

CNVD-2020-46552 深信服终端检测平台（EDR）存在远程命令执行漏洞

漏洞描述

深信服终端检测响应平台EDR可通过云网端联动协同、威胁情报共享、多层级响应机制，帮助用户快速处置终端安全问题，构建轻量级、智能化、响应快的下一代终端安全系统。

深信服终端监测响应平台（EDR）存在远程命令执行漏洞。攻击者可通过构造HTTP请求来利用此漏洞，成功利用此漏洞的攻击者可以在目标主机上执行任意命令。

影响版本

漏洞影响的产品版本包括：

深信服EDR 3.2.16、3.2.17、3.2.19版本，其他版本不受影响。

修复建议

目前，深信服官方已发布更新版本和修复补丁，更新至3.2.21版本或升级补丁可修复该漏洞。

深信服已经通过在线升级功能完成漏洞补丁的在线升级修复，用户开启在线升级功能后即可升级至最新版本。
针对未开通在线升级功能的用户，深信服将通过客服热线主动指导用户升级，直至升级成功。同时，用户也可以通过自行下载3.2.21版本升级安装包：https://bbs.sangfor.com.cn/plugin.php?id=s... 然后打开EDR管理平台后台，在系统管理–升级管理–平台和终端升级中导入该下载升级安装包，导入后，管理平台和终端将自动升级至3.2.21版本。
如暂时无法升级，可临时对深信服EDR系统服务配置IP访问权限策略，将其可访问的IP范围控制在安全可控的区域内。

建议使用深信服EDR系统信息系统运营者及时自查，发现存在漏洞后，按照漏洞处置建议及时进行加固处置。

来源

www.cnvd.org.cn/webinfo/show/5677

https://www.cnvd.org.cn/flaw/show/CNVD-202...

CNVD-2020-46639 Microsoft Windows和Windows Server权限提升漏洞

漏洞描述

Microsoft Windows和Microsoft Windows Server都是美国微软（Microsoft）公司的产品。Microsoft Windows是一套个人设备使用的操作系统。Microsoft Windows Server是一套服务器操作系统。

Microsoft Windows和Windows Server存在权限提升漏洞，该漏洞源于Windows Update Stack未能正确处理内存中的对象，攻击者可利用该漏洞在内核模式下运行任意代码，从而可安装程序，查看、更改或删除数据，或创建具有完全用户权限的新帐户。

影响版本

Microsoft Windows Server 2019
Microsoft Microsoft Windows Server 1803
Microsoft Microsoft Windows Server 1903
Microsoft Windows 10 1709
Microsoft Windows 10 1803
Microsoft Windows 10 1809
Microsoft Windows 10 1903
Microsoft Microsoft Windows Server 1909
Microsoft Windows 10 1909

修复建议

厂商已发布了漏洞修复程序，请及时关注更新：
https://portal.msrc.microsoft.com/en-US/se...

来源

https://www.cnvd.org.cn/flaw/show/CNVD-202...

CNVD-2020-46637 Microsoft Windows Graphics Components远程代码执行漏洞

漏洞描述

Microsoft Windows和Microsoft Windows Server都是美国微软（Microsoft）公司的产品。Microsoft Windows是一套个人设备使用的操作系统。Microsoft Windows Server是一套服务器操作系统。Graphics Components是其中的一个图形组件。

Microsoft Windows Graphics Components中存在远程代码执行漏洞该漏洞，该漏洞源于Microsoft图形组件处理内存中对象的方式存在问题，攻击者可利用该漏洞在目标系统上执行任意代码。

影响版本

Microsoft Windows Server 2008 R2 SP1
Microsoft Windows Server 2008 SP2
Microsoft Windows 7 SP1
Microsoft Windows Windows Server 2012
Microsoft Windows 8.1
Microsoft Windows RT 8.1 SP0
Microsoft Windows Server 2012 R2
Microsoft Windows 10
Microsoft Windows 10 1607
Microsoft Windows Server 2016
Microsoft Windows Server 2019
Microsoft Microsoft Windows Server 1803
Microsoft Microsoft Windows Server 1903
Microsoft Windows 10 1709
Microsoft Windows 10 1803
Microsoft Windows 10 1809
Microsoft Windows 10 1903
Microsoft Microsoft Windows Server 1909
Microsoft Windows 10 1909

修复建议

厂商已发布了漏洞修复程序，请及时关注更新：
https://portal.msrc.microsoft.com/en-US/se...

来源

https://www.cnvd.org.cn/flaw/show/CNVD-202...

Citrix Endpoint Management 多个高危漏洞

漏洞描述

2020年08月13日， 360CERT监测发现Citrix官方发布Citrix Endpoint Management组件的风险通告，包含多个等级不等漏洞。

影响版本

以下版本受到严重影响

XenMobile Server < 10.12 RP2
XenMobile Server < 10.11 RP4
XenMobile Server < 10.10 RP6
XenMobile Server < 10.9 RP5

以下版本受到中等影响

XenMobile Server < 10.12 RP3
XenMobile Server < 10.11 RP6
XenMobile Server < 10.10 RP6
XenMobile Server < 10.9 RP5

修复建议

及时测试并更新到漏洞修复的版本或升级版本

来源

https://cert.360.cn/warning/detail?id=c907...

CVE-2020-13699 TeamViewer入侵漏洞

漏洞描述

TeamViewer是德国TeamViewer公司的一套用于远程控制、桌面共享和文件传输的软件。

基于Windows平台的TeamViewer 15.8.3之前版本中存在安全漏洞，该漏洞源于程序无法正确引用其自定义URI处理程序。攻击者可借助特制参数利用该漏洞启动TeamViewer。

经技术确认，该漏洞较难利用，难以造成严重危害。启动会有提示。

影响版本

TeamViewer < 8.0.258861
TeamViewer < 9.0.28860
TeamViewer < 10.0.258873
TeamViewer < 11.0.258870
TeamViewer < 12.0.258869
TeamViewer < 13.2.36220
TeamViewer < 14.2.56676
TeamViewer < 15.8.3

修复建议

目前厂商已发布升级补丁以修复漏洞，补丁获取链接：

https://community.teamviewer.com/t5/Announ...

来源

http://www.cnnvd.org.cn/web/xxk/ldxqById.t...

CNVD-2019-20835 齐治运维堡垒的前台远程命令执行漏洞（无需登录）

漏洞描述

浙江齐治科技股份有限公司是一家主要经营计算机软硬件、网络产品的技术开发等项目的公司。

齐治运维堡垒机服务端存在命令执行漏洞，攻击者可利用该漏洞获取服务器权限。

影响版本

浙江齐治科技有限公司齐治运维堡垒机

修复建议

厂商已提供修复方案，请关注厂商主页更新：
www.shterm.com/

来源

www.cnvd.org.cn/flaw/show/1632201

QEMU-KVM越界读写漏洞

漏洞描述

QEMU是一款开源的虚拟化软件，用代码模拟了许多常用的硬件设备，如网卡、显卡、声卡等。该漏洞，是360 VulcanTeam于2019天府杯中，用时13秒即刻破解的经典0day漏洞。肖伟强调，该漏洞一旦被成功利用，可以实现越界读、越界写、相对偏移越界写等操作，最终在宿主机中执行任意代码，造成较为严重的信息泄露。