查看原文
其他

腾讯安全威胁情报中心推出2022年12月必修安全漏洞清单

腾讯威胁情报中心 腾讯安全威胁情报中心 2023-02-16

欢迎关注

腾讯安全威胁情报中心




腾讯安全威胁情报中心推出2022年12月份必修安全漏洞清单,所谓必修漏洞,就是运维人员必须修复、不可拖延、影响范围较广的漏洞,被黑客利用并发生入侵事件后,会造成十分严重的后果。
 
腾讯安全威胁情报中心参考“安全漏洞的危害及影响力、漏洞技术细节披露情况、该漏洞在安全技术社区的讨论热度”等因素,综合评估该漏洞在攻防实战场景的风险。当漏洞综合评估为风险严重、影响面较广、技术细节已披露,且被安全社区高度关注时,就将该漏洞列入必修安全漏洞候选清单。
 
腾讯安全威胁情报中心定期发布安全漏洞必修清单,以此指引政企客户安全运维人员修复漏洞,从而避免重大损失。
 
以下是2022年12月份必修安全漏洞清单详情:

一、ThinkPHP开发框架多语言命令执行漏洞
概述:

腾讯安全近期监测到互联网上某安全研究人员发布了关于ThinkPHP的风险公告,漏洞编号为CNVD-2022-86535。成功利用此漏洞的攻击者,最终可远程在目标系统上执行任意命令。

ThinkPHP是为了简化企业级应用开发和敏捷WEB应用开发而诞生的开源轻量级PHP框架。

据描述,该漏洞是由于Thinkphp开启了多语言功能,并且对参数lang传参过滤不严谨,导致攻击者可利用该漏洞执行命令。

漏洞状态:
类别
状态
安全补丁
已公开
漏洞细节
已公开
PoC
已公开
在野利用
未发现

风险等级:

评定方式
等级
威胁等级
高危
影响面
攻击者价值
利用难度
漏洞评分
9.8

影响版本:

V6.0.1 <= ThinkPHP <= V6.0.13

V5.0.0 <= ThinkPHP <= V5.1.41

修复建议:

如不需要多语言功能,请及时关闭此功能,可参考官方文档

https://www.kancloud.cn/manual/thinkphp6_0/1037637

https://static.kancloud.cn/manual/thinkphp5/118132。


官方已发布漏洞补丁及修复版本,可以评估业务是否受影响后,酌情升级至安全版本。

【备注】:建议您在升级前做好数据备份工作,避免出现意外。

https://github.com/top-think/framework/commit/c4acb8b4001b98a0078eda25840d33e295a7f099


二、snapd 本地权限提升漏洞
概述:

腾讯安全近期监测到互联网上某安全研究人员发布了关于snapd的风险公告,漏洞编号为:CVE-2022-3328(CNNVD编号:CNNVD-202212-1797)。成功利用此漏洞的攻击者,可以将普通用户权限提升至ROOT权限。

Snap是Canonical为使用Linux内核的操作系统而开发的软件打包和部署系统,具有可自动更新、易于安装、安全、跨平台且无依赖性的优势。

据描述,非特权用户可利用该漏洞,同时结合另外两个统称为Leeloo Multipath的漏洞(CVE-2022-41974:multipath授权绕过漏洞 和 CVE-2022-41973:multipath符号链接漏洞)将 /tmp 目录绑定到文件系统中的任意目录,进而将普通用户权限提升至ROOT权限。

漏洞状态:

类别
状态
安全补丁
已公开
漏洞细节
已公开
PoC
已公开
在野利用
未发现

风险等级:

评定方式
等级
威胁等级
高危
影响面
攻击者价值
利用难度
漏洞评分
7.8

影响版本:

2.54.3 <= snapd < 2.57.6

修复建议:

Ubuntu用户可以通过下面命令进行版本检查:dpkg -l snapd 或者 snap version ,查看当前snapd是否在受影响的版本范围内,如在受影响范围内可以升级到最新版本。

Debian用户可参照官方发布的通告升级snapd到对应的修复版本,详细漏洞公告参考链接:

https://security-tracker.debian.org/tracker/CVE-2022-3328

官方已发布漏洞补丁及修复版本,请评估业务是否受影响后,酌情升级至安全版本。

【备注】:建议您在升级前做好数据备份工作,避免出现意外。

https://github.com/snapcore/snapd/releases/tag/2.57.6


三、Citrix ADC/Gateway RCE漏洞
概述:

腾讯安全近期监测到NSA发布了关于Citrix ADC和Citrix Gateway的风险公告,漏洞编号为:CVE-2022-27518(CNNVD编号:CNNVD-202212-3051)。成功利用此漏洞的攻击者,最终可远程在目标系统上执行任意命令。

Citrix Systems Citrix Gateway(Citrix Systems NetScaler Gateway)和Citrix ADC都是美国思杰系统(Citrix Systems)公司的产品。Citrix Gateway是一套安全的远程接入解决方案。该产品可为管理员提供应用级和数据级管控功能,以实现用户从任何地点远程访问应用和数据。Citrix ADC是一个最全面的应用程序交付和负载平衡解决方案。用于实现应用程序安全性、整体可见性和可用性。

据描述,当 Citrix ADC和Citrix Gateway配置为安全断言标记语言(SAML)服务提供商(SP)或SAML身份提供商(IdP)时,攻击者可利用此漏洞执行任意命令。

漏洞状态:

类别
状态
安全补丁
已公开
漏洞细节
未公开
PoC
未公开
在野利用
已发现

风险等级:

评定方式
等级
威胁等级
高危
影响面
攻击者价值
利用难度
漏洞评分
9.8

影响版本:

13.0-x < Citrix ADC and Citrix Gateway < 13.0-58.32

12.1-x < Citrix ADC and Citrix Gateway < 12.1-65.25

Citrix ADC 12.1-FIPS < 12.1-55.291

Citrix ADC 12.1-NDcPP < 12.1-55.291


修复建议:

官方已发布漏洞补丁及修复版本,请评估业务是否受影响后,酌情升级至安全版本

【备注】:建议您在升级前做好数据备份工作,避免出现意外

https://support.citrix.com/article/CTX474995


四、Apache ShardingSphere RCE漏洞

概述:

腾讯安全近期监测到Apache官方发布了关于ShardingSphere组件的风险公告,漏洞编号为:CVE-2022-45347(CNNVD编号:CNNVD-202212-3735)。成功利用此漏洞的攻击者,最终可远程在目标系统上执行任意命令。

Apache ShardingSphere 是一套开源的分布式数据库中间件解决方案组成的生态圈,它由 Sharding-JDBC、Sharding-Proxy和Sharding-Sidecar(计划中)这 3 款相互独立,却又能够混合部署配合使用的产品组成。它们均提供标准化的数据分片、分布式事务和数据库治理功能,可适用于如 Java 同构、异构语言、云原生等各种多样化的应用场景。

据描述,漏洞存在于Apache ShardingSphere-Proxy中,当Apache ShardingSphere-Proxy使用MySQL作为后端数据库,并且在客户端认证失败后并没有完全清理数据库会话时,攻击者便可以通过构造一个特殊的MySQL客户端来绕过身份认证并执行查询指令。

漏洞状态:
类别
状态
安全补丁
已公开
漏洞细节
已公开
PoC
已公开
在野利用
未发现

风险等级:
评定方式
等级
威胁等级
高危
影响面
攻击者价值
利用难度
漏洞评分
9.8

影响版本:

Apache ShardingSphere < 5.3.0

修复建议:

官方已发布漏洞补丁及修复版本,请评估业务是否受影响后,酌情升级至安全版本。

【备注】:建议您在升级前做好数据备份工作,避免出现意外。

https://github.com/apache/shardingsphere/releases/


五、Cacti未授权命令注入漏洞

概述:

腾讯安全近期监测到Cacti官方发布了关于Cacti的风险公告,漏洞编号为:CVE-2022-46169(CNNVD编号:CNNVD-202212-2342)。成功利用此漏洞的攻击者,最终可远程在目标系统上执行任意命令。

Cacti是一套基于PHP,MySQL,SNMP及RRDTool开发的网络流量监测图形分析工具。

据描述, 当Cacti为任意监测设备选择了特定数据源时,攻击者可构造恶意请求,在无需登录的情况下访问remote_agent.php 执行任意命令,控制服务器。

漏洞状态:

类别
状态
安全补丁
已公开
漏洞细节
已公开
PoC
已公开
在野利用
未发现

风险等级:

评定方式
等级
威胁等级
高危
影响面
攻击者价值
利用难度
漏洞评分
9.8

影响版本:

Cacti <= 1.2.22

修复建议:

官方已发布漏洞补丁及修复版本,请评估业务是否受影响后,酌情升级至安全版本

【备注】:建议您在升级前做好数据备份工作,避免出现意外

https://github.com/Cacti/cacti/security/advisories/GHSA-6p93-p743-35gf


对于在 PHP < 7.0 下运行的 1.2.x 实例,还需要进一步更改:

https://github.com/Cacti/cacti/commit/a8d59e8fa5f0054aa9c6981b1cbe30ef0e2a0ec9


六、Microsoft Exchange Server权限提升漏洞
概述:

202211月,微软发布了例行安全更新公告,共涉及漏洞数52个,其中严重级别漏洞7个。本次发布涉及 Microsoft WindowsMicrosoft EdgeMicrosoft Exchange等多个软件的安全更新。上述漏洞中危害性较高的Microsoft Exchange Server权限提升漏洞,漏洞编号为:CVE-2022-41080CNNVD编号:CNNVD-202211-2376)。攻击者可利用该漏洞提升在目标主机中的权限。

Microsoft Exchange Server是美国微软(Microsoft)公司的一套电子邮件服务程序。它提供邮件存取、储存、转发,语音邮件,邮件过滤筛选等功能。

据描述,经过身份认证的远程攻击者可通过Outlook Web Application (OWA)端点获得在系统上下文中执行PowerShell的权限,配合CVE-2022-41082漏洞最终可在目标服务器上执行任意代码。

P.S. 此漏洞11月发布,12月成为热点漏洞

漏洞状态:
类别
状态
安全补丁
已公开
漏洞细节
已公开
PoC
已公开
在野利用
已发现

风险等级:
评定方式
等级
威胁等级
高危
影响面
攻击者价值

利用难度

漏洞评分
9.8

影响版本:

Microsoft Exchange Server 2013 Cumulative Update 23

Microsoft Exchange Server 2016 Cumulative Update 22

Microsoft Exchange Server 2016 Cumulative Update 23

Microsoft Exchange Server 2019 Cumulative Update 11

Microsoft Exchange Server 2019 Cumulative Update 12
修复建议:

官方已发布漏洞补丁及修复版本,请评估业务是否受影响后,酌情升级至安全版本

【备注】:建议您在升级前做好数据备份工作,避免出现意外

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-41080


七、Splunk 代码注入漏洞

概述:

腾讯安全近期监测到Splunk官方发布了关于Splunk Enterprise的风险公告,漏洞编号为:CVE-2022-43571(CNNVD编号:CNNVD-202211-1954)。成功利用此漏洞的攻击者,最终可远程在目标系统上执行任意代码。

Splunk Enterprise是一款专业性极强的数据分析软件。Splunk Enterprise能够对采集的数据样本进行专业的解析,在IT行业及财务领域等起着重要作用。

据描述,由于Splunk Enterprise 中 SimpleXML仪表板存在代码注入,经过身份验证的远程攻击者可构造特制的数据包,通过PDF导出操作触发任意代码执行。

漏洞状态:

类别
状态
安全补丁
已公开
漏洞细节
已公开
PoC
已公开
在野利用
未发现

风险等级:

评定方式
等级
威胁等级
高危
影响面
攻击者价值
利用难度
漏洞评分
8.8

影响版本:

8.1.0 <= Splunk Enterprise < 8.1.12

8.2.0 <= Splunk Enterprise < 8.2.9

9.0.0 <= Splunk Enterprise < 9.0.2

Splunk Cloud Platform < 9.0.2209

修复建议:

官方已发布漏洞补丁及修复版本,请评估业务是否受影响后,酌情升级至安全版本

【备注】:建议您在升级前做好数据备份工作,避免出现意外

https://www.splunk.com/en_us/product-security/announcements/svd-2022-1111.html


八、Google Chrome V8类型混淆漏洞

概述:

腾讯安全近期监测到Google官方发布了关于Chrome的风险公告,漏洞编号为CVE-2022-4262(CNNVD编号:CNNVD-202212-1950)。成功利用此漏洞的攻击者,可以实现任意代码执行或导致系统拒绝服务。

Google Chrome是一款由Google公司开发的网页浏览器,该浏览器基于其他开源软件撰写,包括WebKit,目标是提升稳定性、速度和安全性,并创造出简单且有效率的使用者界面。

据描述,该漏洞源于V8 类型混淆,攻击者通过诱导用户访问特制网站等方式,导致用户触发错误越界内存访问,最终实现任意代码执行或导致系统拒绝服务。

漏洞状态:

类别
状态
安全补丁
已公开
漏洞细节
未公开
PoC
未公开
在野利用
已发现

风险等级:

评定方式
等级
威胁等级
高危
影响面
攻击者价值
利用难度
漏洞评分
8.8

影响版本:

Google Chrome < 108.0.5359.94

修复建议:

官方已发布漏洞补丁及修复版本,请评估业务是否受影响后,酌情升级至安全版本

【备注】:建议您在升级前做好数据备份工作,避免出现意外

https://chromereleases.googleblog.com/2022/12/stable-channel-update-for-desktop.html



* 漏洞评分为腾讯安全研究人员根据漏洞情况作出,仅供参考,具体漏洞细节请以原厂商或是相关漏洞平台公示为准。




通用的漏洞修复、防御方案建议


腾讯安全专家推荐用户参考相关安全漏洞风险通告提供的建议及时升级修复漏洞,推荐企业安全运维人员通过腾讯云原生安全产品检测漏洞、防御漏洞武器攻击。

具体操作步骤可参考以下文章指引:https://s.tencent.com/research/report/157






腾讯安全威胁情报中心




腾讯安全威胁情报中心是一个涵盖全球多维数据的情报分析、威胁预警分析平台。依托顶尖安全专家团队支撑,帮助安全分析人员、安全运维人员快速、准确地对可疑威胁事件进行预警、处置和溯源分析。
长按识别二维码获取第一手威胁情报


往期企业必修漏洞清单

您可能也对以下帖子感兴趣

文章有问题?点此查看未经处理的缓存