雷神眾測漏洞周報2023.02.20-2023.02.26
以下內(nèi)容，均摘自于互聯(lián)網(wǎng)，由于傳播，利用此文所提供的信息而造成的任何直接或間接的后果和損失，均由使用者本人負責，雷神眾測以及文章作者不承擔任何責任。
雷神眾測擁有該文章的修改和解釋權(quán)。如欲轉(zhuǎn)載或傳播此文章，必須保證此文章的副本，包括版權(quán)聲明等全部內(nèi)容。聲明雷神眾測允許，不得任意修改或增減此文章內(nèi)容，不得以任何方式將其用于商業(yè)目的。
目錄
1.Joomla未授權(quán)訪問漏洞
2.泛微E-cology9 SQL注入漏洞
3.VMware Carbon Black App Control 遠程代碼執(zhí)行漏洞
4.IBM Aspera Faspex反序列化漏洞
漏洞詳情
1.Joomla未授權(quán)訪問漏洞
漏洞介紹：
Joomla是一套全球知名的內(nèi)容管理系統(tǒng)(CMS），其使用PHP語言和MySQL數(shù)據(jù)庫開發(fā)，可以在Linux、Windows、MacOSX等各種不同的平臺上運行。
漏洞危害：
Joomla未授權(quán)訪問漏洞(CVE-2023-23752)：由于對Web服務(wù)端點的訪問限制不當，遠程攻擊者可利用此漏洞未授權(quán)訪問REST API接口，造成敏感信息泄露。
漏洞編號：
CVE-2023-23752
影響范圍：
4.0.0 <= Joomla <= 4.2.7
修復(fù)方案：
及時測試并升級到最新版本或升級版本。
來源：安恒信息CERT
2.泛微E-cology9 SQL注入漏洞
漏洞介紹：
泛微 E-Cology9 系統(tǒng)是一套基于 JSP 及 SQL Server 數(shù)據(jù)庫的 OA 系統(tǒng)，廣泛應(yīng)用于各個行業(yè)。
漏洞危害：
該漏洞是由于泛微 E-Cology9 未驗證用戶輸入的合法性，攻擊者可利用該漏洞在未授權(quán)的情況下，構(gòu)造惡意數(shù)據(jù)進行 SQL 注入，最終造成數(shù)據(jù)庫敏感信息泄露等。
影響范圍：
泛微 E-Cology9 ≤ 10.55
修復(fù)建議：
及時測試并升級到最新版本或升級版本。
來源：
深信服千里目安全技術(shù)中心
3.VMware Carbon Black App Control 遠程代碼執(zhí)行漏洞
漏洞介紹：
VMware Carbon Black App Control 是一款應(yīng)用允許列表解決方案，旨在使安全運維團隊能夠鎖定新系統(tǒng)和舊版系統(tǒng)，防止發(fā)生不必要的更改，簡化合規(guī)性流程并為企業(yè)系統(tǒng)提供保護。
漏洞危害：
該漏洞存在于VMware Carbon Black App Control中，是一個遠程代碼執(zhí)行漏洞。具有 App Control 管理控制臺特權(quán)訪問權(quán)限的攻擊者可使用特制輸入來訪問底層服務(wù)器操作系統(tǒng)，成功利用此漏洞可在目標系統(tǒng)上執(zhí)行任意代碼。
漏洞編號：
CVE-2023-20858
影響范圍：
VMware Carbon Black App Control 8.9.x < 8.9.4
VMware Carbon Black App Control 8.8.x < 8.8.6
VMware Carbon Black App Control 8.7.x < 8.7.8
修復(fù)方案：
及時測試并升級到最新版本或升級版本。
來源：360CERT
4.IBM Aspera Faspex反序列化漏洞
漏洞介紹：
IBM Aspera是美國國際商業(yè)機器（IBM）公司的一套基于IBM FASP協(xié)議構(gòu)建的快速文件傳輸和流解決方案。
漏洞危害：
IBM Aspera Faspex 4.4.2 Patch Level 1版本及之前版本存在反序列化漏洞，該漏洞源于YAML反序列化缺陷。攻擊者利用該漏洞在系統(tǒng)上執(zhí)行任意代碼。
漏洞編號：
CVE-2022-47986
影響范圍：
IBM IBM Aspera Faspex <=4.4.2 Patch Level 1
修復(fù)方案：
及時測試并升級到最新版本或升級版本。
來源：CNVD
專注滲透測試技術(shù)
全球最新網(wǎng)絡(luò)攻擊技術(shù)