HackerNews 编译，转载请注明出处： 一份重要安全公告已发布，警告用户存在一个高严重性漏洞，同时影响 Enterprise 和 Cloud 平台。 该漏洞编号为 CVE-2026-20163，CVSS 评分为 8.0。它允许攻击者在目标系统上执行远程命令执行（RCE）。 该漏洞源于系统在对上传文件建立索引前进行预览时，对用户输入处理不当。 虽然该漏洞要求攻击者拥有高级别权限，但成功利用后可使恶意用户控制底层主机服务器。 Splunk 远程代码执行漏洞核心问题归类为 CWE-77，即对命令中使用的特殊元素未正确进行中性化处理。 该漏洞存在于 Splunk 的 REST API 组件中，具体针对 /splunkd/__upload/indexing/preview 端点。 攻击者要利用该漏洞，必须已拥有包含高权限 edit_cmd 功能的用户角色。 如果满足此条件，攻击者可在文件上传预览过程中操纵 unarchive_cmd 参数。 由于系统未正确清理该输入内容，攻击者可轻松在服务器上直接注入并执行任意 Shell 命令。 该漏洞已由安全研究员 Danylo Dmytriiev（DDV_UA）以及 Splunk 内部团队成员 Gabriel Nitu 和 James Ervin 负责任地披露。 该漏洞影响 Splunk 软件的多个近期版本。管理员应对照以下受影响版本检查自己的部署环境。 受影响版本包括 Enterprise 10.0.0–10.0.3、9.4.0–9.4.8、9.3.0–9.3.9，以及 Cloud Platform 低于 10.2.2510.5、10.1.2507.16、10.0.2503.12 和 9.3.2411.124 的版本。 基础版 Splunk Enterprise 10.2 不受该漏洞影响。此外，Splunk 正在主动监控并直接向受影响的 Cloud Platform 实例部署补丁。 为保护基础设施免受潜在利用，Splunk 强烈建议立即通过更新或临时缓解措施修复该漏洞。 升级 Splunk Enterprise：管理员应将安装版本升级至已修复版本 10.2.0、10.0.4、9.4.9、9.3.10 或更高版本。实施缓解措施：如果无法立即升级，可通过从所有用户角色中完全移除高权限 edit_cmd 功能来降低风险。这会通过拒绝执行恶意命令所需的权限来阻断攻击链。 目前尚无针对该漏洞的专用威胁检测特征库，因此主动打补丁和严格权限管理至关重要。 消息来源：cybersecuritynews.com； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

Hackernews 编译，转载请注明出处： 安全公司Oxeye的研究人员在Spotify的后台发现了一个关键的远程代码执行漏洞（CVSS评分为9.8）。Backstage是Spotify用于构建开发人员门户的开源平台，它被多个组织使用，包括美国航空公司、Netflix、Splunk、Fidelity Investments和Epic Games。 此问题可通过触发vm2第三方库中最近披露的虚拟机沙箱逃逸漏洞（CVE-2022-36067 又名Sandbreak）来利用。 Oxeye研究人员通过Spotify的漏洞赏金计划报告了这个RCE漏洞，Backstage开发团队在1.5.1版本中迅速修复了这个漏洞。 “未经身份验证的黑客可以通过利用Scaffolder核心插件中的vm2沙箱逃逸，在Backstage应用程序上执行任意系统命令。”Oxeye发布的建议写道。 该漏洞存在于允许开发人员在Backstage中创建组件的软件模板工具中。 研究人员解释说，模板引擎利用vm2库来防止不可信代码的执行。 “在审查如何限制这种风险时，我们注意到可以通过在隔离环境之外使用带有Nunjucks的用户控制模板，来运行shell命令。因此，Backstage开始使用vm2 JavaScript沙盒库来降低这种风险。在早期的研究论文中，Oxeye发现了一个vm2沙盒逃逸漏洞，导致主机上的远程代码执行（RCE）。 研究人员在Shodan中对Backstage favicon哈希进行了简单的查询，并发现了500多个暴露在互联网上的Backstage实例。 专家们注意到，默认情况下部署Backstage时没有身份验证机制或授权机制，允许来宾访问。一些公开的Backstage实例不需要任何身份验证。 通过进一步的测试，专家们可以确定，在许多情况下，不需要身份验证就可以利用该漏洞。 “任何基于模板的虚拟机转义的根源都是在模板中获得JavaScript执行权限。通过使用“无逻辑”模板引擎（如Mustache），可以避免引入服务器端模板注入漏洞。尽可能将逻辑与演示文稿分离，可以大大减少您受到最危险的基于模板的攻击风险。有关缓解基于模板的漏洞的更多信息，请参阅PortSwigge的技术公告。如果您使用Backstage进行身份验证，请同时在前端和后端启用它。”   消息来源：securityaffairs，译者：Shirley； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc ” 并附上原文

Hackernews 编译，转载请注明出处： DrayTek公司已发现多达29种不同型号的路由器受到一个新的关键、未经身份验证的远程代码执行漏洞的影响，如果成功利用该漏洞，可能导致设备完全受损，并未经授权访问更广泛的网络。 Trellix研究员Philippe Laulheret说：“如果设备的管理界面面向互联网，则可以在没有用户交互的情况下进行攻击。在默认设备配置下，也可以从局域网内执行一键攻击。” 根据CVE-2022-32548，该漏洞在CVSS评分系统上的严重等级为10.0，因为它能够让攻击者完全控制路由器。 其核心缺陷是Web管理界面（“/cgi-bin/wlogin.cgi”）中存在缓冲区溢出漏洞，黑客可以通过提供特制的输入来将其武器化。 据称，这家台湾制造商生产的20多万台设备在互联网上暴露了易受攻击的服务，不需要用户交互即可被利用。 破坏Vigor 3910等网络设备不仅会使网络容易受到恶意操作，如凭证和知识产权盗窃、僵尸网络活动或勒索软件攻击，还会导致拒绝服务（DoS）情况。 一个多月前，华硕、思科、DrayTek和NETGEAR的路由器受到了针对北美和欧洲网络的新型恶意软件ZuoRAT的攻击。 虽然到目前为止还没有迹象表明该漏洞在野外被利用，但建议尽快应用固件补丁，以防范潜在威胁。 Laulheret指出：“边缘设备，如Vigor 3910路由器，位于内部和外部网络之间的边界上，因此，他们是网络犯罪分子和黑客的首要目标。远程破坏边缘设备可能会导致企业内部网络完全受损。”   消息来源：TheHackerNews，译者：Shirley； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc ” 并附上原文

Hackernews 编译，转载请注明出处： 一个名为 PHP Everywhere 的 WordPress 插件中披露了一个关键的安全漏洞，这个插件在全世界有超过30,000个网站使用，攻击者可能会利用这个漏洞在受影响的系统上执行任意代码。 PHP Everywhere 用于在 WordPress 安装过程中打开 PHP 代码的开关，使用户能够在内容管理系统的 Pages、 Posts 和 Sidebar 中插入和执行基于 PHP 的代码。 以下这三个问题，在 CVSS 评级系统中评级9.9（满分为10），影响版本2.0.3及之后的版本，如下： CVE-2022-24663-订阅者 + 用户通过短代码远程执行代码 CVE-2022-24664-Contributor + 用户通过 metabox 远程执行代码，以及 CVE-2022-24665-Contributor + 用户通过gutenberg块远程执行代码 成功利用这三个漏洞可能导致恶意 PHP 代码的执行，这些代码可以被用来实现完全的站点接管。 安全公司 WordPress 表示，他们在1月4日向插件作者 Alexander Fuchs 披露了这个漏洞，随后在2022年1月12日发布了3.0版本的更新，完全删除了漏洞代码。 “这个插件的3.0.0版本的更新是一个突破性的变化，它删除了[php_everywhere]的短代码和小部件,”插件的更新描述页面写道。“从插件设置页面运行升级向导，将旧代码迁移到Gutenberg块。” 值得注意的是，3.0.0版本只通过Block editor编辑器支持 PHP 代码片段，因此仍然依赖 Classic Editor的用户必须卸载该插件，并下载一个替代解决方案来托管自定义 PHP 代码。 消息来源：TheHackerNews，译者：Zoeppo； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc ” 并附上原文