雷神众测漏洞周报2022.01.17-2022.01.23-4

声明

以下内容，均摘自于互联网，由于传播，利用此文所提供的信息而造成的任何直接或间接的后果和损失，均由使用者本人负责，雷神众测以及文章作者不承担任何责任。

雷神众测拥有该文章的修改和解释权。如欲转载或传播此文章，必须保证此文章的副本，包括版权声明等全部内容。声明雷神众测允许，不得任意修改或增减此文章内容，不得以任何方式将其用于商业目的。

1. WebLogic Server 高危安全漏洞

2. Apache Log4j 多个漏洞

3. Zoho ManageEngine Desktop Central 身份验证绕过漏洞

4. Vim缓冲区溢出漏洞

漏洞详情

1. WebLogic Server 高危安全漏洞

漏洞介绍：

2022年1月18日，Oracle官方发布了2022年1月安全更新公告，包含了其家族WebLogic Server在内的多个产品安全漏洞公告，其中CVE-2022-21306风险较高，该漏洞允许未经身份验证的攻击者接管WebLogic服务器。

漏洞危害：

漏洞存在于WebLogic Server Core中，该漏洞允许未经身份验证的攻击者通过T3协议请求来攻击，成功利用此漏洞可导致WebLogic Server被接管。

漏洞编号：

CVE-2022-21306

影响范围：

WebLogic Server 12.1.3.0.0版本

WebLogic Server 12.2.1.3.0版本

WebLogic Server 12.2.1.4.0版本

WebLogic Server 14.1.1.0.0版本

修复方案：

高危：目前漏洞细节和利用代码暂未公开，但可以通过补丁对比方式定位漏洞触发点并开发漏洞利用代码，建议及时测试并升级到漏洞修复的版本。

方修复建议：

目前Oracle已发布升级补丁修复了上述漏洞，请用户参考官方通告及时下载更新补丁，并参照补丁包中的readme文件进行安装。

来源：安恒信息应急响应中心

2. Apache Log4j 多个漏洞

漏洞介绍：

Apache官方发布了Log4j的多个漏洞通告，分别为Apache log4j JMSSink反序列化代码执行漏洞（CVE-2022-23302）,Apache log4j JDBCAppender SQL注入漏洞（CVE-2022-23305），Apache log4j Chainsaw反序列化代码执行漏洞（CVE-2022-23307）。

漏洞危害：

CVE-2022-23302：Apache Log4j JMSSink反序列化代码执行漏洞，根据官方描述，当攻击者对 Log4j 配置具有写访问权限时，不受信任的数据或如果配置引用了攻击者有权访问的LDAP 服务。攻击者可以提供一个TopicConnectionFactoryBindingName配置，导致JMSSink 执行JNDI 请求，这与 CVE-2021-4104 远程执行代码的方式类似。

请注意，此问题仅在专门配置为使用JMSSink时影响 Log4j 1.x ，Log4j默认配置时不受此漏洞影响。

CVE-2022-23305：Apache Log4j JDBCAppender SQL注入漏洞，根据官方描述，Log4j 1.2.x 中的 JDBCAppender接受SQL语句作为要插入的值是转换器的配置参数，PatternLayout消息转换器未对输入的值进行过滤，允许攻击者通过在输入中输入精心制作的字符串来操纵 SQL，实现非法查询。

请注意，此问题仅在专门配置为使用JDBCAppender时会影响Log4j 1.x，Log4j默认配置时不受此漏洞影响。

CVE-2022-23307，Chainsaw v2是由Log4j开发社区成员编写的与Log4j配套的应用程序，是一个基于GUI的日志查看器，该漏洞由于Apache Log4j 1.2.x中的Chainsaw存在反序列化代码执行漏洞，可能造成任意代码执行。

请注意，Log4j默认情况下未配置Chainsaw的使用，因此默认配置下不受此漏洞影响。

漏洞编号：

CVE-2022-23302

CVE-2022-23305

CVE-2022-23307

影响范围：

Apache Log4j 1.x

Apache Chainsaw < 2.1.0

修复方案：

高危：目前漏洞POC暂未公开，由于官方已停止对Log4j 1.x版本进行维护，建议部署相关产品的用户升级到 Log4j 2安全版本以获得安全修复

来源：安恒信息应急响应中心

3. Zoho ManageEngine Desktop Central 身份验证绕过漏洞

漏洞介绍：

ZOHO ManageEngine Desktop Central（DC）是美国卓豪（ZOHO）公司的一套桌面管理解决方案。该方案包含软件分发、补丁管理、系统配置、远程控制等功能模块，可对桌面机以及服务器管理的整个生命周期提供支持。

漏洞危害：

Zoho ManageEngine Desktop Central存在一个身份验证绕过漏洞，该漏洞允许远程攻击者在未授权的情况下，进行数据读取或在目标服务器上写入任意zip文件。该漏洞会影响 Desktop Central 和 Desktop Central MSP 统一端点管理 (UEM) 解决方案。

漏洞编号：

CVE-2021-44757

影响范围：

Zoho ManageEngine Desktop Central <10.1.2137.9

修复建议：

及时测试并升级到最新版本或升级版本

来源：360CERT

4. Vim缓冲区溢出漏洞

漏洞介绍：

Vim是一款基于UNIX平台的编辑器。

漏洞危害：

Vim存在缓冲区溢出漏洞，该漏洞源于产品未能正确判断内存边界，攻击者可利用该漏洞导致缓冲区溢出。