正文

雷神众测漏洞周报2022.11.21-2022.11.27

admin
admin V管理员 /0 评论 /656 阅读
1129
此篇文章发布距今已超过711天，您需要注意文章的内容或图片是否可用！

以下内容，均摘自于互联网，由于传播，利用此文所提供的信息而造成的任何直接或间接的后果和损失，均由使用者本人负责，雷神众测以及文章作者不承担任何责任。

雷神众测拥有该文章的修改和解释权。如欲转载或传播此文章，必须保证此文章的副本，包括版权声明等全部内容。声明雷神众测允许，不得任意修改或增减此文章内容，不得以任何方式将其用于商业目的。


目录

1.tlassian Bitbucket Server and Data Center命令注入漏洞
2.Google Chrome GPU堆缓冲区溢出漏洞
3.XXL-JOB代码问题漏洞
4.Apache SOAP身份验证错误漏洞


漏洞详情

1.tlassian Bitbucket Server and Data Center命令注入漏洞


漏洞介绍：

Atlassian是一个澳大利亚的企业软件公司,设计发布针对软件开发工程师和项目经理的企业软件。Atlassian公司以其产品项目跟踪软件JIRA和团队协同软件Confluence而闻名。Bitbucket Server and Data Center 是 Atlassian 提供的Git存储库管理解决方案。


漏洞危害：

Atlassian Bitbucket Server and Data Center存在命令注入漏洞，该漏洞允许具有控制用户名权限的攻击者利用环境变量进行命令注入，从而实现系统命令执行。（若Atlassian Bitbucket Server and Data Center使用PostgreSQL作为数据库，则不受该漏洞影响。）


漏洞编号：

CVE-2022-43781


影响范围：

7.0 <= Bitbucket Server and Data Center <= 7.5
7.6.0 <= Bitbucket Server and Data Center <= 7.6.18
7.7 <= Bitbucket Server and Data Center <= 7.16
7.17.0 <= Bitbucket Server and Data Center <= 7.17.11
7.18 <= Bitbucket Server and Data Center <= 7.20
7.21.0 <= Bitbucket Server and Data Center <= 7.21.5
如果在bitbucket.properties中设置了mesh.enabled=false，则以下版本也受影响：
8.0.0 <= Bitbucket Server and Data Center <= 8.0.4
8.1.0 <= Bitbucket Server and Data Center <= 8.1.4
8.2.0 <= Bitbucket Server and Data Center <= 8.2.3
8.3.0 <= Bitbucket Server and Data Center <= 8.3.2
8.4.0 <= Bitbucket Server and Data Center <= 8.4.1


修复方案：

及时测试并升级到最新版本或升级版本。


来源：安恒信息CERT


2.Google Chrome GPU堆缓冲区溢出漏洞


漏洞介绍：

Google Chrome是由Google开发的免费网页浏览器。Chrome代码是基于其他开放源代码软件所编写，包括Apple WebKit和Mozilla Firefox，并开发出称为“V8”的高性能JavaScript引擎。


漏洞危害：

该漏洞为Chrome GPU处理模块中的堆缓冲区溢出漏洞，此类漏洞通常会在成功读取或写入超出缓冲区边界的内存后导致浏览器崩溃或执行任意代码。


漏洞编号：

CVE-2022-4135


影响范围：

Google Chrome for Mac/Linux < 107.0.5304.121
Google Chrome for Windows < 107.0.5304.121/.122


修复方案：

及时测试并升级到最新版本或升级版本。


来源：360CERT


3. XXL-JOB代码问题漏洞


漏洞介绍：

XXL-JOB是许雪里（XXL-JOB）社区的一款基于java语言的分布式任务调度平台。


漏洞危害：

XXL-JOB v2.3.1之前版本存在安全漏洞，该漏洞源于通过/admin/controller/JobLogController.java发现包含服务器端请求伪造（SSRF）。目前没有详细漏洞细节提供。


漏洞编号：

CVE-2022-43183


影响范围：

XXL-JOB XXL-JOB <=2.3.1


修复建议：

及时测试并升级到最新版本或升级版本。


来源：CNVD


4.Apache SOAP身份验证错误漏洞


漏洞介绍：

Apache SOAP是美国阿帕奇（Apache）基金会的用作客户端库来调用其他地方可用的 SOAP服务，也可以用作服务器端工具来实现SOAP可访问服务。


漏洞危害：

Apache SOAP存在身份验证错误漏洞，该漏洞源于RPCRouterServlet无需身份验证即可使用，攻击者可利用该漏洞有可能在满足特定条件的类路径上调用方法，根据类路径上可用的类可能导致任意远程代码执行。


漏洞编号：

CVE-2022-45378


影响范围：

Apache SOAP <=2.3


修复建议：

及时测试并升级到最新版本。


来源：CNVD



专注渗透测试技术

全球最新网络攻击技术


END



雷神众测漏洞周报2022.11.21-2022.11.27


推荐站内搜索：最好用的开发软件、免费开源系统、渗透测试工具云盘下载、最新渗透测试资料、最新黑客工具下载……
宙飒天下网-ZhouSa.com