雷神眾測漏洞周報(bào)2022.6.27-2022.7.03
聲明
以下內(nèi)容，均摘自于互聯(lián)網(wǎng)，由于傳播，利用此文所提供的信息而造成的任何直接或間接的后果和損失，均由使用者本人負(fù)責(zé)，雷神眾測以及文章作者不承擔(dān)任何責(zé)任。
雷神眾測擁有該文章的修改和解釋權(quán)。如欲轉(zhuǎn)載或傳播此文章，必須保證此文章的副本，包括版權(quán)聲明等全部內(nèi)容。聲明雷神眾測允許，不得任意修改或增減此文章內(nèi)容，不得以任何方式將其用于商業(yè)目的。
目錄
1.Apache Shiro 身份認(rèn)證繞過漏洞
2.GitLab 遠(yuǎn)程代碼執(zhí)行漏洞
3.泛微OA存在SQL注入漏洞
4.多款TP-Link無線擴(kuò)展器遠(yuǎn)程命令執(zhí)行漏洞
漏洞詳情
1.Apache Shiro 身份認(rèn)證繞過漏洞
漏洞介紹：
Apache Shiro 是一個(gè)功能強(qiáng)大且易于使用的 Java 安全框架，它可以執(zhí)行身份驗(yàn)證、授權(quán)、加密和會(huì)話管理，可以用于保護(hù)任何應(yīng)用程序——從命令行應(yīng)用程序、移動(dòng)應(yīng)用程序到最大的 web 和企業(yè)應(yīng)用程序。
漏洞危害：
Apache Shiro 存在一個(gè)權(quán)限繞過漏洞，當(dāng) Apache Shiro 中使用 RegexRequestMatcher 進(jìn)行權(quán)限配置，且正則表達(dá)式中攜帶“.”時(shí)，未經(jīng)授權(quán)的遠(yuǎn)程攻擊者可通過構(gòu)造惡意數(shù)據(jù)包繞過身份認(rèn)證，導(dǎo)致配置的權(quán)限驗(yàn)證失效。
漏洞編號(hào)：
CVE-2022-32532
影響范圍：
Apache Shiro < 1.9.1
修復(fù)方案：
及時(shí)測試并升級(jí)到最新版本或升級(jí)版本
來源：安恒信息CERT
2.GitLab 遠(yuǎn)程代碼執(zhí)行漏洞
漏洞介紹：
GitLab是一個(gè)用于倉庫管理系統(tǒng)的開源項(xiàng)目，其使用Git作為代碼管理工具，可通過Web界面訪問公開或私人項(xiàng)目。
漏洞危害：
該漏洞存在于GitLab社區(qū)版（CE）和企業(yè)版（EE）中，授權(quán)用戶可以導(dǎo)入惡意制作的項(xiàng)目導(dǎo)致遠(yuǎn)程代碼執(zhí)行。
漏洞編號(hào)：
CVE-2022-2185
修復(fù)建議：
及時(shí)測試并升級(jí)到最新版本或升級(jí)版本
來源：360CERT
3.泛微OA存在SQL注入漏洞
漏洞介紹：
泛微OA是一款移動(dòng)辦公平臺(tái)。
漏洞危害：
泛微OA存在SQL注入漏洞，攻擊者可利用該漏洞獲取數(shù)據(jù)庫敏感信息。
影響范圍：
上海泛微網(wǎng)絡(luò)科技股份有限公司 泛微OA V8
修復(fù)建議：
及時(shí)測試并升級(jí)到最新版本或升級(jí)版本
來源：CNVD
4.多款TP-Link無線擴(kuò)展器遠(yuǎn)程命令執(zhí)行漏洞
漏洞介紹：
TP-Link WA850RE等都是TP-Link旗下的無線擴(kuò)展器。
漏洞危害：
多款無線擴(kuò)展器存在遠(yuǎn)程命令執(zhí)行漏洞，攻擊者可利用漏洞未授權(quán)遠(yuǎn)程命令執(zhí)行。
影響范圍：
TP-Link TL-WA850RE v5.0
TP-Link TL-WA850RE v4.0
TP-Link TL-WA850RE v3.0
TP-LINK RE450 v2.0
TP-LINK RE305 v1.0
TP-LINK RE650 v1.0
修復(fù)方案：
及時(shí)測試并升級(jí)到最新版本或升級(jí)版本
來源：CNVD
專注滲透測試技術(shù)
全球最新網(wǎng)絡(luò)攻擊技術(shù)