雷神众测漏洞周报2023.01.16-2023.02.05

以下内容，均摘自于互联网，由于传播，利用此文所提供的信息而造成的任何直接或间接的后果和损失，均由使用者本人负责，雷神众测以及文章作者不承担任何责任。

雷神众测拥有该文章的修改和解释权。如欲转载或传播此文章，必须保证此文章的副本，包括版权声明等全部内容。声明雷神众测允许，不得任意修改或增减此文章内容，不得以任何方式将其用于商业目的。

1.VMware vRealize Log Insight多个高危漏洞
2.QNAP QTS/QuTS hero SQL注入漏洞
3.用友GRP-U8存在命令执行漏洞
4.Oracle WebLogic Server远程代码执行漏洞
5.Apache OFBiz代码注入漏洞
6.F5 iControl SOAP权限提升漏洞

漏洞详情

1.VMware vRealize Log Insight多个高危漏洞

漏洞介绍：

VMware vRealize Log Insight 是一个日志分析管理工具。利用基于机器学习的智能分组和高性能搜索功能，可跨物理环境、虚拟环境和云环境管理海量数据、了解运维情况并加快故障排除。

漏洞危害：

VMware vRealize Log Insight目录穿越漏洞 (CVE-2022-31706)：VMware vRealize Log Insight存在一个目录穿越漏洞，未经身份验证的恶意行为者可以将文件注入受影响设备的操作系统，从而导致远程代码执行。

VMware vRealize Log Insight访问控制不当漏洞(CVE-2022-31704)：VMware vRealize Log Insight存在一个失效的访问控制漏洞，未经身份验证的恶意行为者可以将文件注入受影响设备的操作系统，从而导致远程代码执行。

VMware vRealize Log Insight反序列化漏洞 (CVE-2022-31710)：VMware vRealize Log Insight存在一个反序列化漏洞，未经身份验证的恶意行为者可以远程触发不可信数据的反序列化，可能导致系统拒绝服务。

VMware vRealize Log Insight信息泄露漏洞(CVE-2022-31711)：VMware vRealize Log Insight存在一个信息泄露漏洞，未经身份验证的恶意行为者可以远程收集敏感会话和应用程序信息。

漏洞编号：

CVE-2022-31706
CVE-2022-31704
CVE-2022-31710
CVE-2022-31711

影响范围：

VMware vRealize Log Insight 8.x < 8.10.2
VMware Cloud Foundation (VMware vRealize Log Insight) 4.x
VMware Cloud Foundation (VMware vRealize Log Insight) 3.x

修复方案：

及时测试并升级到最新版本或升级版本。

来源：安恒信息CERT

2.QNAP QTS/QuTS hero SQL注入漏洞

漏洞介绍：

威联通科技（QNAP），简称威联通，是中国台湾的跨国科技公司，产品包括网路附加储存、视讯监控录影系统、网路交换器、无线路由器、无线/有线网路卡和视讯会议系统等。其亦为ODM制造商。

漏洞危害：

该漏洞存在于QNAP中，是一个SQL注入漏洞。该漏洞影响运行 QuTS hero QTS 的 QNAP 设备，远程攻击者可利用该漏洞，在无需用户交互或特殊权限的情况下，向目标服务器注入恶意代码。

漏洞编号：

CVE-2022-27596

影响范围：

QTS 5.0.1
QuTS hero h5.0.1

修复方案：

及时测试并升级到最新版本或升级版本。

来源：360CERT

3. 用友GRP-U8存在命令执行漏洞

漏洞介绍：

用友GRP-U8是用友公司专注于国家电子政务事业，基于云计算技术所推出的新一代产品，是我国行政事业财务领域的政府财务管理软件。

漏洞危害：

用友GRP-U8存在命令执行漏洞，攻击者可利用该漏洞获取服务器控制权。

影响范围：

用友网络科技股份有限公司 GRP-U8

修复建议：

及时测试并升级到最新版本或升级版本。

来源：CNVD

4.Oracle WebLogic Server远程代码执行漏洞

漏洞介绍：

Oracle WebLogic Server是美国甲骨文（Oracle）公司的一款适用于云环境和传统环境的应用服务中间件，它提供了一个现代轻型开发平台，支持应用从开发到生产的整个生命周期管理，并简化了应用的部署和管理。

漏洞危害：

Oracle WebLogic Server存在远程代码执行漏洞，攻击者可利用该漏洞通过IIOP/T3协议向受影响的服务器发送恶意的请求，导致在目标服务器上访问敏感信息并执行任意代码。

漏洞编号：

CVE-2023-21839

影响范围：

Oracle WebLogic Server 12.2.1.3.0
Oracle Oracle WebLogic Server 12.2.1.4.0
Oracle WebLogic Server 14.1.1.0.0

修复建议：

及时测试并升级到最新版本。

来源：CNVD

5.Apache OFBiz代码注入漏洞

漏洞介绍：

Apache OFBiz是美国阿帕奇（Apache）基金会的一套企业资源计划（ERP）系统。该系统提供了一整套基于Java的Web应用程序组件和工具。

漏洞危害：

Apache OFBiz 18.12.05及之前版本存在代码注入漏洞，该漏洞源于Birt存在错误，攻击者可利用该漏洞远程执行代码。

漏洞编号：

CVE-2022-25371

影响范围：

Apache OFBiz <=18.12.05

修复建议：

及时测试并升级到最新版本。

来源：CNVD

6.F5 iControl SOAP权限提升漏洞

漏洞介绍：

F5 BIG-IP是F5公司的一款集成了网络流量编排、负载均衡、智能DNS，远程接入策略管理等功能的应用交付平台。

漏洞危害：

F5 iControl SOAP存在权限提升漏洞，经过身份验证的攻击者可利用该漏洞使iControl SOAP CGI进程崩溃或执行任意代码。

漏洞编号：

CVE-2023-22374

影响范围：

F5 BIG-IP (all modules) 17.0.0
F5 BIG-IP (all modules) 13.1.5
F5 BIG-IP (all modules) >=14.1.4.6，<=14.1.5
F5 BIG-IP (all modules) >=15.1.5.1，<=15.1.8
F5 BIG-IP (all modules) >=16.1.2.2，<=16.1.3

修复建议：

及时测试并升级到最新版本。

来源：CNVD