20221115第17期｜安全漏洞一周播报

本期漏洞情况态势

▼本周漏洞态势

国家信息安全漏洞共享平台（以下简称CNVD）本周共收集、整理信息安全漏洞405个，其中高危漏洞172个、中危漏洞169个、低危漏洞64个。漏洞平均分值为6.09。本周收录的漏洞中，涉及0day漏洞311个（占77%），其中互联网上出现“FacturaScripts跨站脚本漏洞（CNVD-2022-76230）、Survey Sparrow Enterprise Survey Software跨站脚本漏洞”等零日代码攻击漏洞。本周CNVD接到的涉及党政机关和企事业单位的事件型漏洞总数18262个，与上周（16853个）环比增加8%。

漏洞信息

▼重点安全漏洞

1.F5产品安全漏洞

F5 F5OS-A是美国F5公司的一种操作系统软件。F5 BIG-IP是F5公司的一款集成了网络流量编排、负载均衡、智能DNS，远程接入策略管理等功能的应用交付平台。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞获取对Docker注册表的只读访问权，导致服务降级，从而导致BIG-IP系统上的拒绝服务等。

CNVD收录的相关漏洞包括：F5 F5OS-A信息泄露漏洞、F5 BIG-IP资源管理错误漏洞（CNVD-2022-74967、CNVD-2022-74965）、F5 BIG-IP输入验证错误漏洞（CNVD-2022-74966）、F5 BIG-IP路径遍历漏洞、F5 BIG-IP代码问题漏洞（CNVD-2022-74968）、F5 BIG-IP iControl SOAP目录遍历漏洞、F5 BIG-IP APM资源管理错误漏洞（CNVD-2022-74964）。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。

补丁获取链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2022-74969

https://www.cnvd.org.cn/flaw/show/CNVD-2022-74967

https://www.cnvd.org.cn/flaw/show/CNVD-2022-74965

https://www.cnvd.org.cn/flaw/show/CNVD-2022-74966

https://www.cnvd.org.cn/flaw/show/CNVD-2022-74963

https://www.cnvd.org.cn/flaw/show/CNVD-2022-74968

https://www.cnvd.org.cn/flaw/show/CNVD-2022-74718

https://www.cnvd.org.cn/flaw/show/CNVD-2022-74964

2.Microsoft产品安全漏洞

Microsoft Windows SMB Server是美国微软（Microsoft）公司的一个网络文件共享协议。它允许计算机上的应用程序读取和写入文件以及从计算机网络中的服务器程序请求服务。Microsoft Windows是美国微软（Microsoft）公司的一种桌面操作系统。Microsoft Windows Remote Desktop Protocol（RDP）是美国微软（Microsoft）公司的一款用于连接远程Windows桌面的应用。Microsoft Windows Network File System是美国微软（Microsoft）公司的一种文件共享解决方案，可让您使用 NFS 协议在运行 Windows Server 和 UNIX 操作系统的计算机之间传输文件。Microsoft Graphics Components是美国微软（Microsoft）公司的图形驱动组件。Microsoft Dynamics是美国微软（Microsoft）公司的一套适用于跨国企业的ERP业务解决方案。该产品包括财务管理、生产管理和商业智能管理等。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞执行任意代码。

CNVD收录的相关漏洞包括：Microsoft Windows SMB远程代码执行漏洞（CNVD-2022-74599、CNVD-2022-74598、CNVD-2022-74596）、Microsoft Windows Server Service远程代码执行漏洞、Microsoft Windows Remote Desktop Protocol远程代码执行漏洞、Microsoft Windows Network File System远程代码执行漏洞（CNVD-2022-74601）、Microsoft Windows Graphics组件远程代码执行漏洞（CNVD-2022-74593）、Microsoft Dynamics 365 (on-premises)远程代码执行漏洞。其中，“Microsoft Windows Server Service远程代码执行漏洞、Microsoft Windows Remote Desktop Protocol远程代码执行漏洞、Microsoft Windows Network File System远程代码执行漏洞（CNVD-2022-74601）、Microsoft Windows Graphics组件远程代码执行漏洞（CNVD-2022-74593）、Microsoft Dynamics 365 (on-premises)远程代码执行漏洞”漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。

补丁获取链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2022-74599

https://www.cnvd.org.cn/flaw/show/CNVD-2022-74598

https://www.cnvd.org.cn/flaw/show/CNVD-2022-74596

https://www.cnvd.org.cn/flaw/show/CNVD-2022-74597

https://www.cnvd.org.cn/flaw/show/CNVD-2022-74600

https://www.cnvd.org.cn/flaw/show/CNVD-2022-74601

https://www.cnvd.org.cn/flaw/show/CNVD-2022-74593

https://www.cnvd.org.cn/flaw/show/CNVD-2022-74591

3.Apache产品安全漏洞

Apache UIMA是美国阿帕奇（Apache）基金会的一个组件化的软件架构。用于分析同终端用户相关联的大容量非结构化信息。Apache Traffic Server（ATS或TS）是一个高性能的、模块化的HTTP代理和缓存服务器，与Nginx和Squid类似。Traffic Server最初是Inktomi公司的商业产品，该公司在2003年被Yahoo收购，2009年8月Yahoo向Apache软件基金会（ASF）贡献了源代码，并于2010年4月成为了ASF的顶级项目（Top-LevelProject）。Apache TrafficServer现在是一个开源项目，开发语言为C++。Apache NiFi是一套数据处理和分发系统。该系统主要用于数据路由、转换和系统中介逻辑。Apache JSPWiki是美国阿帕奇（Apache）基金会的一款基于Java、Servlet和JSP构建的开源WikiWiki引擎。Apache Isis是美国阿帕奇（Apache）基金会的一个用于在Java中快速开发领域驱动应用程序的框架。Apache Hadoop是美国阿帕奇（Apache）基金会的一套开源的分布式系统基础架构。该产品能够对大量数据进行分布式处理，并具有高可靠性、高扩展性、高容错性等特点。Apache Airflow是美国阿帕奇（Apache）基金会的一套用于创建、管理和监控工作流程的开源平台。该平台具有可扩展和动态监控等特点。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞获取敏感信息，使用精心设计的ZIP条目名称在指定目标目录之外创建文件，执行任意命令等。

CNVD收录的相关漏洞包括：Apache UIMA路径遍历漏洞、Apache Traffic Server输入验证漏洞（CNVD-2022-76238）、Apache NiFi存在命令执行漏洞、Apache JSPWiki跨站请求伪造漏洞（CNVD-2022-76239）、Apache Isis授权问题漏洞、Apache Isis跨站脚本漏洞、Apache Hadoop代码问题漏洞、Apache Airflow输入验证错误漏洞。其中，“Apache UIMA路径遍历漏洞、Apache Traffic Server输入验证漏洞（CNVD-2022-76238）、Apache NiFi存在命令执行漏洞、Apache JSPWiki跨站请求伪造漏洞（CNVD-2022-76239）、Apache Hadoop代码问题漏洞”的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。

补丁获取链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2022-76232

https://www.cnvd.org.cn/flaw/show/CNVD-2022-76238

https://www.cnvd.org.cn/flaw/show/CNVD-2022-75959

https://www.cnvd.org.cn/flaw/show/CNVD-2022-76239

https://www.cnvd.org.cn/flaw/show/CNVD-2022-76235

https://www.cnvd.org.cn/flaw/show/CNVD-2022-76234

https://www.cnvd.org.cn/flaw/show/CNVD-2022-76237

https://www.cnvd.org.cn/flaw/show/CNVD-2022-76233

4.Siemens产品安全漏洞

Parasolid是一个3D几何建模工具，它支持多种技术，包括实体建模、直接编辑和自由曲面/表建模。JT2Go是一个3D JT查看工具，允许用户查看JT、PDF、Solid Edge、PLM XML以及可用的JT、VFZ、CGM和TIF数据。Teamcenter Visualization使企业能够通过全面的可视化解决方案系列增强其产品生命周期管理 (PLM) 环境。该软件使企业用户能够在单一环境中访问文档、2D图纸和3D模型。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞在当前进程的上下文中执行代码。

CNVD收录的相关漏洞包括：Siemens Parasolid越界写入漏洞、Siemens Parasolid越界读取漏洞、Siemens JT2Go and Teamcenter Visualization越界写入漏洞、Siemens JT2Go and Teamcenter Visualization越界读取漏洞（CNVD-2022-75551、CNVD-2022-75550）、Siemens JT2Go and Teamcenter Visualization免费后使用漏洞、Siemens JT2Go and Teamcenter Visualization缓冲区溢出漏洞（CNVD-2022-75548、CNVD-2022-75553）。上述漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。

补丁获取链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2022-75535

https://www.cnvd.org.cn/flaw/show/CNVD-2022-75536

https://www.cnvd.org.cn/flaw/show/CNVD-2022-75552

https://www.cnvd.org.cn/flaw/show/CNVD-2022-75551

https://www.cnvd.org.cn/flaw/show/CNVD-2022-75550

https://www.cnvd.org.cn/flaw/show/CNVD-2022-75549

https://www.cnvd.org.cn/flaw/show/CNVD-2022-75548

https://www.cnvd.org.cn/flaw/show/CNVD-2022-75553

5.Tenda AC18远程命令执行漏洞

Tenda AC18是中国腾达（Tenda）公司的一款路由器。本周，Tenda AC18被披露存在远程命令执行漏洞。攻击者可利用该漏洞在系统上执行任意命令。目前，厂商尚未发布上述漏洞的修补程序。CNVD提醒广大用户随时关注厂商主页，以获取最新版本。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2022-75821

6.FacturaScripts跨站脚本漏洞（CNVD-2022-76230）

验证描述

FacturaScripts是一个ERP软件。

FacturaScripts 2022.07之前版本存在跨站脚本漏洞，攻击者可利用该漏洞执行任意javascript代码，窃取用户的cookie，执行HTTP请求，获取“同源”页面内容等。

验证信息

POC链接：

https://huntr.dev/bounties/4578a690-73e5-4313-840c-ee15e5329741/

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2022-76230

7.WordPress plugin WordPress Classifieds Plugin SQL注入漏洞（CNNVD-202210-2553）

WordPress和WordPress plugin都是WordPress基金会的产品。WordPress是一套使用PHP语言开发的博客平台。该平台支持在PHP和MySQL的服务器上架设个人博客网站。WordPress plugin是一个应用插件。

WordPress plugin WordPress Classifieds Plugin 4.3之前版本存在SQL注入漏洞，该漏洞源于在SQL语句中使用某些参数之前，无法正确清理和转义这些参数，从而导致SQL注入。

补丁获取链接：

https://wpscan.com/vulnerability/546c47c2-5b4b-46db-b754-c6b43aef2660

8.Cisco Identity Services Engine 安全漏洞（CNNVD-202211-2100

Cisco Identity Services Engine（ISE）是美国思科（Cisco）公司的一款环境感知平台（ISE身份服务引擎）。该平台通过收集网络、用户和设备中的实时信息，制定并实施相应策略来监管网络。

Cisco Identity Services Engine(ISE)存在安全漏洞。远程攻击者利用该漏洞执行跨站请求伪造(CSRF)攻击，进而在受影响的设备上执行任意代码。

补丁获取链接：

https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ise-csrf-vgNtTpAs

高级威胁情报解读

1.openssl-punycode.c-栈缓冲区溢出-CVE-2022-3602-punycode.c-命令执行

OpenSSL 3.0.0 - 3.0.6 版本在验证 X.509 证书时存在溢出缓冲区溢出漏洞，攻击者可通过在证书中构造恶意的电子邮件地址以溢出堆栈上的 4 个字节，成功利用此漏洞可实现 DOS 攻击或远程代码执行。

披露时间：2022年11月14日

影响版本：OpenSSL 3.0.0 - 3.0.6

情报来源：

https://ti.dbappsecurity.com.cn/vul/DAS-T104599

2.Apple iOS 安全漏洞（CNNVD-202211-1881）

Apple iOS是美国苹果（Apple）公司的一套为移动设备所开发的操作系统。

Apple iOS 16版本存在安全漏洞。攻击者利用该漏洞提升权限并执行任意代码。

披露时间：2022年11月14日

情报来源：

https://support.apple.com/en-us/HT213446

3.针对印度银行客户的大规模网络钓鱼活动分析

最近观察到针对印度银行客户的大规模攻击活动，活动入口点始于含有网络钓鱼链接的短信，短信内容引导受害者打开链接以定位到恶意程序下载网站，网站通过合法银行的标识及名称伪装，且页面以退税和信用卡积分奖励为由诱导用户填写个人身份信息和信用卡详细信息。

此次活动涉及的5个恶意软件包括：Elibomi、FakeReward、AxBanker、IcRAT和IcSpy。其中FakeReward和AxBanker则是新型银行木马，于今年8月首次被发现，均可监控受害主机并通过SMS将收集到的信息上传至远程服务器。目前，攻击者利用这些恶意软件攻击了来自印度的7家银行客户。

披露时间：2022年11月07日

情报来源：

https://ti.dbappsecurity.com.cn/vul/DAS-T104589

4.解密大黄蜂Bumblebee木马

据研究人员声称，Bumblebee是取代BazarLoader的下一代开门器木马。通过监测发现，近几个月来Bumblebee感染活动非常活跃，几乎每天都会出现新的木马样本和C2服务器。Bumblebee木马主要通过伪装成收款单，项目文档等内容的钓鱼邮件进行传播。主要攻击美洲和欧洲地区，对各种制造、互联网、金融等行业均有涉及。虽然国内只有与之相关的企业间接受害，但不排除未来不会被纳入到直接攻击的区域中。

Bumblebee木马一直处在开发和营运的状态。在最近版本的木马中新增加了下载执行插件的功能，并为开发更复杂的木马功能载荷做准备。同时对历史样本梳理后发现，至少有3个团伙长期投递使用该木马。

Bumblebee木马感染机器后会投递CobaltStrike，Sliver等后渗透木马，并以该主机为落脚点攻击渗透整个域内网络。攻击完成后，黑客团伙会将窃取的登录凭证或访问能力售卖给勒索团伙，投递Conti、Quantum、Diavol等勒索病毒，最终导致敏感文件泄露和主机被勒索。

披露时间：2022年11月09日

情报来源：

https://mp.weixin.qq.com/s/J-sTi7cpGg1TaMn7CYSqhQ

5.微软补丁通告：2022年11月版

本月，微软共发布了64个漏洞的补丁程序，修复了Microsoft Exchange Server、Visual Studio、Microsoft Office等产品中的漏洞。值得注意的是，本次已修复9月底披露的两个Exchange漏洞（CVE-2022-41040权限提升漏洞和CVE-2022-41082远程代码执行漏洞），奇安信CERT累计已发布关于这两个漏洞的六次更新，由于影响较大，建议尽快修复这些漏洞。

其中，CVE-2022-41091 Windows Web 查询标记安全功能绕过漏洞、CVE-2022-41082 Microsoft Exchange Server 远程代码执行漏洞、CVE-2022-41040 Microsoft Exchange Server 权限提升漏洞、CVE-2022-41128 Windows 脚本语言远程代码执行漏洞、CVE-2022-41125 Windows CNG 密钥隔离服务权限提升漏洞和CVE-2022-41073 Windows 打印后台处理程序权限提升漏洞已检测到在野利用，其中CVE-2022-41091、CVE-2022-41082、CVE-2022-41040已公开披露。详情见情报来源链接。

披露时间：2022年11月09日

情报来源：

https://mp.weixin.qq.com/s/i1SoE9_Qnz9bH4vvO7fzgQ

6.Outlaw（亡命徒）挖矿僵尸网络分析

Outlaw挖矿僵尸网络首次被发现于2018年11月，当时其背后的攻击者只是一个通过漏洞入侵IoT设备和Linux服务器并植入恶意程序组建僵尸网络的组织，主要从事DDoS攻击活动，在暗网中提供DDoS出租服务。在后续的发展过程中，受虚拟货币升值影响，也逐步开始在僵尸网络节点中植入挖矿木马，并利用僵尸网络对外进行渗透并扩张，获得更为庞大的计算资源，旨在挖矿过程中获取更多的虚拟货币。

分析时发现Outlaw挖矿僵尸网络在更新攻击组件后会有显著特征，如母体文件文件名分别为“dota.tar.gz”、“dota2.tar.gz”和“dota3.tar.gz”，所以我们将其命名为第一版本、第二版本和第三版本，在第一版本之前还发现两次更新活动特征，将其命名为第零版本和第零版本变种。

披露时间：2022年11月08日

情报来源：

https://mp.weixin.qq.com/s/If7avA3OFhdT6FdibkXTMQ

本文来源：CNVD漏洞平台、CNNVD安全动态、安恒威胁分析平台、奇安信威胁情报中心