1. 威客安全首页
  2. 安全资讯

雷神众测漏洞周报 2020.08.17-2020.08.23-4

声明

以下内容,均摘自于互联网,由于传播,利用此文所提供的信息而造成的任何直接或间接的后果和损失,均由使用者本人负责,雷神众测以及文章作者不承担任何责任。

雷神众测拥有该文章的修改和解释权。如欲转载或传播此文章,必须保证此文章的副本,包括版权声明等全部内容。声明雷神众测允许,不得任意修改或增减此文章内容,不得以任何方式将其用于商业目的。


目录

1、Apache Shiro身份验证绕过漏洞

2、通达OA多枚0day漏洞

3、深信服edr控制端存在大量RCE漏洞

4、天融信dlp-未授权+越权漏洞

漏洞详情

1.Apache Shiro身份验证绕过漏洞


漏洞介绍:

CVE-2020-13933漏洞,漏洞基于Apache Shiro 1.5.3版本的不完全修复,恶意攻击者可以通过构造行特殊编码的请求绕过身份验证,从而突破原本受限的权限


漏洞危害:

根据公告,在业务系统使用Apache Shiro 1.6.0之前版本的场景中,恶意攻击者可以构造特殊HTTP请求来绕过身份验证,从而获得原本受限的访问权限,建议使用该组件的系统及时更新到漏洞修复的版本。


影响范围:

Apache Shiro 1.6.0之前版本,建议更新到1.6.0或以上版本


修复方案:

高危:目前漏洞细节和利用代码虽暂未公开,但可以通过补丁对比方式逆向分析出漏洞触发点,并进一步开发出漏洞利用代码,建议及时测试并更新到漏洞修复的版本,或部署必要的安全防护设备拦截恶意攻击代码。


来源:安恒应急响应中心

2.通达OA多枚0day漏洞


漏洞介绍:
2020年8月23日前公开了多个通达oa 0day。


漏洞危害:

0day包括多个注入及未授权访问漏洞。


影响范围:

通达OA 11.5版本或可能>11.5版本


修复建议:

及时测试并更新到漏洞修复的版本或升级版本


来源:SecPulse安全脉搏

3.深信服edr控制端存在大量漏洞


漏洞介绍:

深信服edr近期被爆出多个远程命令执行漏洞、任意用户登陆漏洞。


漏洞危害:

攻击者可以通过漏洞获取设备权限或者登陆管理系统。


影响范围:

版本小于EDR3.2.21


修复建议:

及时测试并更新到漏洞修复的版本或升级版本


来源:宽字节安全

4.天融信dlp-未授权+越权漏洞


漏洞介绍:

近期爆出天融信dlp存在未授权及越权漏洞。


漏洞危害:

管理员登陆系统之后修改密码,未采用原由码校验,且存在未授权访问导致存在了越权修改管理员密码。


影响范围:

已知版本号v3.1130.308p3_DLP.1


修复建议:

及时测试并更新到漏洞修复的版本或升级版本


来源:FreeBuf


雷神众测漏洞周报 2020.08.17-2020.08.23-4

专注渗透测试技术

全球最新网络攻击技术


END

雷神众测漏洞周报 2020.08.17-2020.08.23-4

原文始发于微信公众号(雷神众测):雷神众测漏洞周报 2020.08.17-2020.08.23-4

本文转为转载文章,本文观点不代表威客安全立场。

发表评论

登录后才能评论