分类: 漏洞

Atlassian 修复了一个关键的 Confluence 漏洞

近期,Atlassian发布了安全更新,以解决Confluence服务器和数据中心中的一个严重硬编码凭据漏洞,该漏洞编号为CVE-2022-26138,未经身份验证的远程攻击者可以利用该漏洞登录未打补丁的服务器。一旦安装了Questions for Confluence 应用程序(版本 2.7.34、2.7.35 和 3.0.2),就会创建一个用户名为“ disabledsystemuser ”的 Confluence 用户帐户。根据 Atlassian的说法,该帐户允许管理员将数据从应用程序迁移到Confluence Cloud。并且该帐户是使用硬编码密码创建的,并被添加到 confluence-users组,默认情况下允许查看和编辑 Confluence中的所有非受限页面。 根据Atlassian 发布的公告,当Confluence Server或Data Center上的Questions for Confluence 应用程序启用时,它会创建一个用户名为 disabledsystemuser 的 Confluence 用户帐户。此帐户旨在帮助将数据从应用程序迁移到 Confluence Cloud 的管理员。disabledsystemuser 帐户是使用硬编码密码创建的,并被添加到 confluence-users 组中,默认情况下允许查看和编辑 Confluence 中的所有非受限页面 。 知道硬编码密码的未经身份验证的攻击者可以利用它登录 Confluence 并访问该组可以访问的任何页面。 该公司指出,卸载Questions for Confluence 应用程序并不能解决此漏洞,因为在卸载应用程序后,disabledsystemuser 帐户不会被删除。受影响的 Confluence Server 或 Data Center 实例的管理员可以通过以下操作修复此漏洞: 选项 1:更新到 Confluence 的非易受攻击版本 选项 2:禁用或删除 disabledsystemuser 帐户 幸运的是,目前Atlassian并没有收到利用此漏洞进行的野外攻击。要确定是否有人使用硬编码密码登录到 disabledsystemuser 帐户,管理员可以获取用户上次登录时间的列表,如果硬编码帐户的上次身份验证时间为空,则意味着该帐户从未用于访问设备。 转自 FreeBuf,原文链接:https://www.freebuf.com/articles/339843.html 封面来源于网络,如有侵权请联系删除

Apple 为所有设备发布安全补丁,修复数十个新漏洞

Hackernews 编译,转载请注明出处: 周三,苹果发布了针对iOS、iPadOS、macOS、tvOS和watchOS的软件补丁,以解决影响其平台的一系列安全漏洞。 这包括至少37个漏洞,这些漏洞跨越iOS和macOS中的不同组件,从权限提升到任意代码执行,从信息泄露到拒绝服务。 其中最主要的是CVE-2022-2294,这是Google本月早些时候披露的WebRTC组件中的内存损坏漏洞,该漏洞在针对Chrome浏览器用户的真实攻击中被利用。但是,没有证据表明针对iOS,macOS和Safari的漏洞进行了疯狂的零日利用。 除了 CVE-2022-2294 之外,这些更新还解决了影响 Apple Neural Engine (CVE-2022-32810、CVE-2022-32829 和 CVE-2022-32840)、音频 (CVE-2022-32820)、GPU 驱动程序 (CVE-2022-32821)、ImageIO (CVE-2022-32802)、IOMobileFrameBuffer (CVE-2022-26768)、内核(CVE-2022-32813 和 CVE-2022-32815) 和 WebKit (CVE-2022-32792)的几个任意代码执行漏洞。 此外,还修补了影响内核的指针身份验证绕过 (CVE-2022-32844)、ImageIO 组件中的 DoS 错误 (CVE-2022-32785),以及 AppleMobileFileIntegrity 和文件系统事件中的两个权限提升漏洞(CVE-2022-32819 和 CVE-2022-32826)。 最新版本的 macOS 解决了 SMB 模块中的五个安全漏洞,恶意应用可能会利用这些漏洞来获得提升的权限、泄露敏感信息以及使用内核权限执行任意代码。 建议 Apple 设备的用户更新到 iOS 15.6、iPadOS 15.6、macOS(Monterey 12.5、Big Sur 11.6.8 和 2022-005 Catalina)、tvOS 15.6 和 watchOS 8.7,以获得最新的安全防护。   消息来源:TheHackerNews,译者:Shirley; 本文由 HackerNews.cc 翻译整理,封面来源于网络; 转载请注明“转自 HackerNews.cc ” 并附上原文

思科修复了允许攻击者以 root 身份执行命令的 BUG

近期,思科解决了Cisco Nexus Dashboard数据中心管理解决方案中的严重漏洞,这些漏洞可让远程攻击者以root或管理员权限执行命令和操作。 第一个安全漏洞(被评为严重严重性漏洞,编号为 CVE-2022-20857)使未经身份验证的威胁参与者能够通过发送HTTP 请求来访问API,并以root 权限远程执行任意命令。 第二个漏洞(Web UI 中的一个高严重性漏洞,编号为 CVE-2022-20861)允许远程攻击者通过欺骗经过身份验证的管理员单击恶意链接来进行跨站点请求伪造攻击。 对此,思科也作出了解释,利用该漏洞可能允许攻击者在受影响的设备上以管理员权限执行操作。而近期修补的另一个高严重性安全漏洞 (CVE-2022-20858) 可以让未经身份验证的远程攻击者通过打开与容器镜像管理服务的TCP连接来下载容器镜像或将恶意镜像上传到受影响的设备。幸运的是,正如思科在发布的安全公告中解释的那样,恶意图像将在设备重启或Pod重启后运行。不过这些漏洞影响Cisco Nexus Dashboard 1.1及更高版本。思科已解决近期发布的2.2(1e)安全更新中的漏洞,并建议客户尽快迁移到固定版本。 这些安全漏洞是由思科高级安全计划小组 (ASIG) 的安全研究人员在内部安全测试期间发现的。思科的产品安全事件响应团队 (PSIRT) 表示,目前暂不知道公开可用的漏洞利用或在野外的积极利用。同时思科还修补了Cisco Nexus 仪表板的SSL/TLS实施中的第四个漏洞 (CVE-2022-20860),该漏洞可能让未经身份验证的远程威胁参与者通过拦截中间人攻击中的流量来改变通信,利用该漏洞还可能允许攻击者查看敏感信息,包括受影响控制器的管理员凭据。思科表示之所以存在此漏洞,是因为当 Cisco Nexus Dashboard 与 Cisco 应用策略基础设施控制器 (APIC)、Cisco Cloud APIC 或 Cisco Nexus Dashboard Fabric Controller(以前的数据中心网络管理器 (DCNM) 控制器)建立连接时,未验证 SSL 服务器证书。 转自 FreeBuf,原文链接:https://www.freebuf.com/news/339721.html 封面来源于网络,如有侵权请联系删除

美国政府发布有关 Log4j 漏洞相关调查报告

美国网路安全审查委员会(Cyber Safety Review Board)报告指出,Log4Shell(CVE-2021-44228)漏洞将成为“地方流行病”,对企业系统的影响可能长达10年以上。 美国总统拜登今年发布行政命令成立的网路安全审查委员会(Cyber Safety Review Board,CSRB)于上周四(7/14)发布第一份报告,根据针对80家组织及业者的调查结果,说明去年12月揭露的Apache Log4j漏洞的实际影响和未来的威胁。 去年Apache 基金会紧急修补的Log4Shell(CVE-2021-44228),是安全风险达10.0的远端程式码执行(RCE)漏洞,被安全专家视为近10年最严重漏洞。Log4Shell漏洞不易修补,衍生出新漏洞,Apache专案组织还多次释出新版本解决。由于Log4j广泛用于许多软件及云端平台,包括微软Minecraft、Amazon、Google、IBM等都受影响,因而也引发全球安全研究人员及企业IT管理员的重视。 报告指出,目前委员会尚未发现对关键基础架构系统有Log4j相关的重大攻击。一般而言,Log4j漏洞开采发生在比专家预期更低层。但由于鲜少权威性资料源,目前还难以判断它在地理区、产业别或不同生态体系的影响范围。 不过可以确定的是,Log4Shell事件还没有结束。委员会评估Log4j漏洞将成为“地方流行病”(endemic)漏洞,而未来几年间,受其影响的问题执行个体将持续存在企业组织系统内,甚至要到10年或更久。原因之一是,用户或软件开发商并不知道自己使用的软件套件内有Log4j,或是其专案有很高的相依性。 然而企业组织仍然苦于无法回应漏洞开采事件,而企业升级漏洞系统的工作距离完成也还有一长段距离,尤其是开源软件界通常欠缺资源实行程式码的安全开发。包括Maven Java套件、Java SQL资料库H2等开源软件都被发现有Log4j漏洞。 基于CSRB的政府角色,关于Log4j漏洞,CSRB给出4项建议。首先是持续提高警觉Log4j的漏洞风险、通报Log4j漏洞开采行动,而美国网路安全主管机关CISA也会强化提供统一网路安全资讯的能力。 其次是推动安全最佳典范,像是建立IT资产管理作业、发展漏洞回应、揭露、处理流程、强化辨识有漏洞系统的能力、与建立安全软件开发典范。第三是推动整个软件生态系的漏洞管理,特别是对开源软件社群的协助。最后是著重美国政府单位使用的软件安全性,包括政府软件供应商透明度、及强化辨识有已知漏洞的软件等。 转自 E安全,原文链接:https://mp.weixin.qq.com/s/T5sET-ma54Jp059is5QNyA 封面来源于网络,如有侵权请联系删除

针对 WordPress 插件漏洞的攻击数量激增

来自Wordfence的研究人员对近期高频率出现的针对WordPress Page Builder插件的网络攻击发出警告,这些攻击都是试图利用WordPress插件中一个名为Kaswara Modern WPBakery Page Builder Addons的未修补缺陷。 该缺陷被追踪为CVE-2021-24284,在CVSS漏洞评分系统中被评为10.0,此项漏洞与未经授权的任意文件上传有关,可被滥用以获得代码执行,最终使得攻击者能够夺取受影响WordPress网站的控制权。 尽管该漏洞早在2021年4月由WordPress安全公司就已经进行了披露,但至今为止该漏洞仍未得到解决。更为糟糕的是,该插件已经停止更新,WordPress也不再积极维护该插件。 Wordfence表示有超过1000个安装了该插件的网站正在受该公司的保护,而自本月开始该公司平均每天阻止了443,868次攻击尝试。 WordPress Page Builder插件漏洞 这些攻击来自10215个IP地址,其中大部分的攻击企图被缩小到10个IP地址。这些攻击涉及上传一个包含恶意PHP文件的ZIP档案,允许攻击者向受感染的网站上传流氓文件。 该攻击的目的似乎是在其他合法的JavaScript文件中插入代码,并将网站访问者重定向到恶意网站。值得注意的是,Avast和Sucuri已经分别以Parrot TDS和NDSW的名义跟踪了这些攻击。 据不完全统计,约有4000到8000个网站安装了该插件,因此建议使用WordPress插件的用户删除该插件,并寻找其他的插件进行替代,以防止此次针对WordPress插件的网络攻击。 转自 FreeBuf,原文链接:https://www.freebuf.com/news/339522.html 封面来源于网络,如有侵权请联系删除

RollingPWN 漏洞曝光:黑客可远程解锁和启动多款本田车型

研究人员近日发现了一个高危漏洞,允许黑客远程解锁和启动多款本田(Honda)车型。目前本田旗下 10 款最受欢迎的车型均受到了影响。更糟糕的是,研究人员调查认为从 2012 到 2022 年发售的所有车型可能都存在这个漏洞。 这个漏洞被安全研究人员称之为“RollingPWN”,主要利用本田的无钥匙进入系统的一个组件。目前本田的进入系统依赖于滚动代码模型,每次所有者按下 fob 按钮时都会创建一个新的进入代码。 在新进入代码创建之后,理论上此前创建的代码应该弃用以防止重放攻击。不过研究人员 Kevin26000 和 Wesley Li 发现旧代码可以回滚并用于获取对车辆的不必要访问权限。 研究人员对 2012-2022 年发售的多款本田车型进行了测试,均发现了这个漏洞。目前经过测试,已经确认受到影响的车辆型号包括 ● Honda Civic 2012 ● Honda XR-V 2018 ● Honda CR-V 2020 ● Honda Accord 2020 ● Honda Odyssey 2020 ● Honda Inspire 2021 ● Honda Fit 2022 ● Honda Civic 2022 ● Honda VE-1 2022 ● Honda Breeze 2022 根据漏洞影响车型列表和成功测试情况,Kevin26000 和 Li 坚信该漏洞可能会影响所有本田汽车,而不仅仅是上面列出的前十个。 为漏洞提供修复可能与漏洞利用本身一样复杂。本田可以通过无线 (OTA) 固件更新修复该漏洞,但许多受影响的汽车不提供 OTA 支持。更大的潜在受影响车辆池使得召回情况不太可能发生。 目前,Kevin26000 和 Li 正怀疑该漏洞是否也存在于其他车企的车辆型号中。 转自 cnBeta,原文链接:https://www.cnbeta.com/articles/tech/1290501.htm 封面来源于网络,如有侵权请联系删除

针对可能导致 RCE 攻击的高危漏洞,OpenSSL 发布补丁

Hackernews 编译,转载请注明出处:   OpenSSL于1998年首次发布,是一个通用加密库,它提供了安全套接字层和传输层安全协议的开源实现,使用户能够生成私钥,创建证书签名请求,安装SSL/TLS证书。 OpenSSL项目的维护者已经发布了补丁,以解决加密库中的一个严重错误,该错误可能在某些场景下导致远程代码执行。 该问题现在被分配为漏洞编号CVE-2022-2274,并被描述为在2022年6月21日发布的OpenSSL 3.0.4版本中引入的RSA私钥操作导致堆内存损坏的情况。 维护者称其为“RSA实现中的严重漏洞”,称该漏洞可能导致计算过程中的内存损坏,攻击者可能将其武器化,以触发执行计算的机器上的远程代码执行。 西安电子科技大学博士生Xi Ruoyao于2022年6月22日向OpenSSL报告了该漏洞。建议该库的用户升级到OpenSSL版本3.0.5,以减轻任何潜在的威胁。   消息来源:TheHackerNews,译者:Shirley; 本文由 HackerNews.cc 翻译整理,封面来源于网络; 转载请注明“转自 HackerNews.cc ” 并附上原文

CISA 命令美国联邦机构在 7 月 22 日前为 CVE-2022-26925 打补丁

近日,美国网络安全和基础设施安全局CISA再次将CVE-2022-26925漏洞添加到已知漏洞目录中,并命令联邦文职行政部门FCEB在7月22日前按规定执行修复。CVE-2022-26925漏洞允许未经身份验证的攻击者能够在匿名模式下通过NTLM的身份验证,这可能会导致攻击者夺取整个域的控制权。 据悉在今年5月,CISA曾将CVE-2022-26925 Windows LSA添加在“已知漏洞目录”中,并发布了强制修复的命令,但很快CISA就将这条公告删除。原因微软2022年5月的周二补丁虽然声称解决了CVE-2022-26925漏洞,但在安装后该问题仍然没有彻底解决。 CISA 在该问题的公告中写道:“ 2022年5月10日的微软常规更新中存在域控制器部署认证失败的问题,该问题可能导致企业可能会在服务器或客户端遇到服务的认证失败,如网络策略服务器(NPS)、路由和远程访问服务(RRAS)、Radius、可扩展认证协议(EAP)和受保护可扩展认证协议(PEAP)都会受到影响。” 微软在6月向CISA通报了问题的解决方案。根据美国联邦约束性操作指令(BOD)22-01,为了减少已知被利用的漏洞的重大风险,美国联邦文职行政部门FCEB必须在7月22日之前解决已发现的漏洞,以保护其网络免受利用目录中的缺陷的攻击。 网络安全专家们还建议私营机构审查该漏洞目录并解决其基础网络架构中的漏洞。   转自 FreeBuf,原文链接:https://www.freebuf.com/news/338298.html 封面来源于网络,如有侵权请联系删除

Jenkins 安全团队披露了 29 个受 0Day 漏洞影响的插件

Jenkins安全团队披露了影响Jenkins自动化服务器中29个插件的数十项缺陷,其中大部分尚未得到修复 Jenkins是最受欢迎的开源自动化服务器,它由CloudBees和Jenkins社区维护。该自动化服务器支持开发人员构建、测试和部署他们的应用程序,它在全球有数十万个活跃的安装,用户数量超过100万。 Jenkins的安全团队近日披露了影响Jenkins自动化服务器中29个插件中的34个安全缺陷,其中29个安全缺陷还没有被修复。 以下是Jenkins发布的公告中指出的漏洞: Build Notifications Plugin build-metrics Plugin Cisco Spark Plugin Deployment Dashboard Plugin Elasticsearch Query Plugin eXtreme Feedback Panel Plugin Failed Job Deactivator Plugin GitLab Plugin HPE Network Virtualization Plugin Jigomerge Plugin Matrix Reloaded Plugin OpsGenie Plugin Plot Plugin Project Inheritance Plugin Recipe Plugin Request Rename Or Delete Plugin requests-plugin Plugin Rich Text Publisher Plugin RocketChat Notifier Plugin RQM Plugin Skype notifier Plugin TestNG Results Plugin Validating Email Parameter Plugin XebiaLabs XL Release Plugin XPath Configuration Viewer Plugin 这些漏洞的严重程度从低到高不等,截至公告发布时,以下漏洞还没有被修复: Build Notifications Plugin build-metrics Plugin Cisco Spark Plugin Deployment Dashboard Plugin Elasticsearch Query Plugin eXtreme Feedback Panel Plugin Failed Job Deactivator Plugin HPE Network Virtualization Plugin Jigomerge Plugin Matrix Reloaded Plugin OpsGenie Plugin Plot Plugin Project Inheritance Plugin Recipe Plugin Request Rename Or Delete Plugin Rich Text Publisher Plugin RocketChat Notifier Plugin RQM Plugin Skype notifier Plugin Validating Email Parameter Plugin XPath Configuration Viewer Plugin 未修补的漏洞列表包括XSS、跨站请求伪造(CSRF)、缺失或不正确的权限检查,以及以纯文本存储的密码、API密钥和令牌。 以下则是公告发布时,已经通过补丁解决的漏洞: GitLab Plugin应更新至1.5.35版本 requests-plugin Plugin应更新至2.2.17版 TestNG Results Plugin应更新至555.va0d5f66521e3版本 XebiaLabs XL Release Plugin应更新至22.0.1版本   转自 FreeBuf,原文链接:https://www.freebuf.com/news/338090.html 封面来源于网络,如有侵权请联系删除

微软云服务爆容器逃逸漏洞,攻击者可接管 Linux 集群

安全内参6月30日消息,微软修复了旗下应用程序托管平台Service Fabric(SF)的容器逃逸漏洞“FabricScape”。利用此漏洞,恶意黑客可以提升至root权限,夺取主机节点控制权,进而危及整个SF Linux集群。 微软公布的数据显示,Service Fabric是一套关键业务应用程序托管平台,目前托管的应用总数已超百万。 该平台还支持多种微软产品,包括但不限于Azure SQL Database、Azure Cosmos DB、Microsoft Intune、Azure Event Hubs、Azure IoT Hub、Dynamics 365、Skype for Business Cortana、Microsoft Power BI及其他多项核心Azure服务。 这个漏洞编号为CVE-2022-30137,由Palo Alto Networks公司的Unit 42团伙发现,并于今年1月30日报告给微软的。 该漏洞之所以出现,是因为Fabric的数据收集代理(DCA)服务组件(以root权限运行)包含竞争条件下的随意写入机制,导致恶意黑客可通过创建符号链接的方式,利用恶意内容覆盖节点文件系统中的文件,获取代码执行权限。 Unit 42的报告详细介绍了CVE-2022-30137执行代码漏洞的利用方法,以及接管SF Linux集群的更多细节。 微软公司表示,“微软建议客户持续审查一切有权访问其主机集群的容器化工作负载(包括Linux与Windows)。” “默认情况下,SF集群是单租户环境,各应用程序之间不存在隔离。但您可以在其中创建隔离,关于如何托管不受信代码的更多指南,请参阅Azure Service Fabric安全最佳实践页面。” 图:FabricScape恶意利用流程(Unit 42) 漏洞修复花了五个月 根据Unit 42的报告,微软公司于6月14日发布了Microsoft Azure Service Fabric 9.0 Cumulative Update,最终解决了这个漏洞(微软则表示,相关修复程序已在5月26日发布)。 微软为该漏洞发布安全公告后,从6月14日开始,已将修复程序推送至Linux集群的自动更新通道。 在Linux集群上启用自动更新的客户,无需采取任何额外处理措施。 对于没有为Azure Service Fabric开启自动更新的用户,建议大家尽快将Linux集群升级至最新Service Fabric版本。 Palo Alto Networks公司表示,“虽然我们并未发现任何成功利用该漏洞的在野攻击,但仍然希望能敦促各组织立即采取行动,确认自身环境是否易受攻击,并迅速安装补丁。” 微软公司表示,对于尚未启用自动更新的客户,他们已经通过Azure Service Health门户发出关于此问题的安全通知。   转自 安全内参,原文链接:https://www.secrss.com/articles/44177 封面来源于网络,如有侵权请联系删除