华云安漏洞安全周报【第121期】

根据统计，本周（2023.02.06~2023.02.12）CNNVD接报漏洞313个，其中信息技术产品漏洞（通用型漏洞）227个，网络信息系统漏洞（事件型漏洞）86个，CNNVD接报漏洞预警113份。

本周重点关注漏洞包括：CVE-2023-25194 Apache Kafka Connect 远程代码执行漏洞通告、CVE-2023-23477 IBM WebSphere Application Server远程代码执行漏洞通告、CVE-2023-22832 Apache NiFi 代码问题漏洞、2023年2月补丁日微软多个漏洞安全更新通告。漏洞影响范围较广，华云安建议相关用户做好资产自查与预防工作。

CVE-2023-25194 Apache Kafka Connect 远程代码执行漏洞通告

威胁等级：高危

漏洞描述：

2022年02月08日，华云安思境安全团队发现 Apache 官方网站发布了安全更新，披露了 Apache Kafka Connect 存在远程代码执行漏洞。Apache Kafka 是一个开源分布式事件流平台，可用于高性能数据管道、流分析、数据集成和任务关键型应用程序。攻击者访问 Kafka Connect worker，并使用 Kafka 客户端配置和基于 SASL 的安全协议在其上创建或修改连接器的恶意行为者可以发送JNDI请求，触发远程代码执行。

情报来源：

https://lists.apache.org/thread/vy1c7fqcdqvq5grcqp6q5jyyb302khyz

CVE-2023-23477 IBM WebSphere Application Server 远程代码执行漏洞通告

威胁等级：高危

漏洞描述：

2023年02月08日，华云安思境安全团队发现 IBM 官网发布了安全更新，披露了 IBM WebSphere Application Server 存在代码注入漏洞。WebSphere 应用服务器是使用 WebSphere Application Server 加速交付新应用程序和服务，它可以通过快速交付创新的应用程序来帮助企业提供丰富的用户体验。未经身份验证的远程攻击者可利用此漏洞通过构造特制序列化对象序列发送至目标服务器，从而在系统上执行任意代码。

https://www.ibm.com/support/pages/node/6891111

CVE-2023-22832 Apache NiFi 代码问题漏洞

威胁等级：高危

漏洞描述：

2023年02月10日，华云安思境安全团队发现 Apache 官网发布了安全更新，披露了 Apache NiFi 1.2.0版本至1.19.1版本存在代码问题漏洞。Apache NiFi 是一个易于使用、功能强大而且可靠的数据拉取、数据处理和分发系统，用于自动化管理系统间的数据流。攻击者可传入特制的 XML 文档获取系统中的文件。

情报来源：

https://lists.apache.org/thread/b51qs6y7b7r58vovddkv6wc16g2xbl3w

2023年2月补丁日：微软多个漏洞安全更新通告

威胁等级：超危

漏洞描述：

2023年02月15日，华云安思境安全团队发现 Microsoft 官网发布了安全更新，此次安全更新发布了98个漏洞的补丁，其中包含11个严重漏洞, 87个高危漏洞。主要覆盖了以下组件：.NET and Visual Studio、.NET Framework、Azure App Service、Azure Data Box Gateway、Azure DevOps、Azure Machine Learning、Microsoft Defender for IoT、Microsoft Dynamics、Microsoft Edge (Chromium-based)、Microsoft Exchange Server、Microsoft Office、Microsoft PostScript Printer Driver、Microsoft WDAC OLE DB provider for SQL、Microsoft Windows Codecs Library、SQL Server、Visual Studio、Windows Active DirectoryWindows InstallerWindows Kerberos等。对此，华云安思境安全团队建议广大用户做好资产自查以及预防工作，以免遭受黑客攻击。

情报来源：

https://msrc.microsoft.com/update-guide/releaseNote/2023-Feb

华云安

华云安是一家深耕于网络空间安全领域的高新技术企业，专注于漏洞研究、攻防对抗、产品研发、安全服务；致力于对主动防御、情报协同、溯源反制能力进行融合创新，以攻击者视角构建攻击面管理安全能力平台，提供新一代网络安全对抗防御解决方案。公司服务于国家网络安全监管部门及金融、能源、教育、医疗等关键信息基础设施行业。

公司持续构建的原子化安全能力平台，秉承数据驱动、AI引领的理念，通过基于知识图谱的安全风险库和场景化人工智能引擎两大核心技术，结合不同的业务需求灵活组合安全能力，实现一个平台覆盖所有安全能力。

进入“华云安漏洞情报平台”查阅详情