雷神众测漏洞周报2021.08.23-2021.08.29-4
声明
以下内容，均摘自于互联网，由于传播，利用此文所提供的信息而造成的任何直接或间接的后果和损失，均由使用者本人负责，雷神众测以及文章作者不承担任何责任。
雷神众测拥有该文章的修改和解释权。如欲转载或传播此文章，必须保证此文章的副本，包括版权声明等全部内容。声明雷神众测允许，不得任意修改或增减此文章内容，不得以任何方式将其用于商业目的。
目录
1. XStream高危漏洞
2. F5 BIG-IP高危漏洞
3. VMware产品多个漏洞
4. Confluence OGNL 注入漏洞
漏洞详情
1.XStream高危漏洞
漏洞介绍：
安恒应急响应中心监测到XStream发布安全更新，修复了14个安全漏洞。
漏洞编号：
CVE-2021-39139
CVE-2021-39140
CVE-2021-39141
CVE-2021-39144
CVE-2021-39145
CVE-2021-39146
CVE-2021-39147
CVE-2021-39148
CVE-2021-39149
CVE-2021-39150
CVE-2021-39151
CVE-2021-39152
CVE-2021-39153
CVE-2021-39154
其中包括多个反序列化远程代码执行漏洞，通过这些漏洞，攻击者可在目标服务器上执行任意代码。
漏洞危害：
CVE-2021-39140：根据分析，攻击者可以操纵处理过的输入流并替换或注入对象，这会导程序死循环，可能造成拒绝服务。
CVE-2021-39139、CVE-2021-39141、CVE-2021-39144、CVE-2021-39145、CVE-2021-39146、CVE-2021-39147、CVE-2021-39148、CVE-2021-39149、CVE-2021-39151、CVE-2021-39153、CVE-2021-39154：根据分析，攻击者可以构造特定XML，绕过XStream的黑名单限制，触发反序列化，可能导致远程代码执行。
CVE-2021-39150、CVE-2021-39152：根据分析，XStream 会根据类型信息创建新实例。攻击者可以操纵经过处理的输入流并替换或注入对象，可能会导致服务端请求为伪造。
影响范围：
XStream <= 1.4.17
修复方案：
及时测试并升级到最新版本或升级版本
来源: 安恒信息应急响应中心
2. F5 BIG-IP高危漏洞
漏洞介绍：
近日，安恒应急响应中心监测到F5官方发布安全公告，其中修复了一个TMUI（流量管理用户界面，也称为配置实用程序）存在远程命令执行漏洞，对应CVE编号：CVE-2021-23025。
漏洞危害：
TMUI（流量管理用户界面，也称为配置实用程序）中存在远程命令执行漏洞，经过身份验证的攻击者可通过BIG-IP管理端口对TMUI进行攻击，实现任意命令执行。
影响范围：
BIG-IP 15.x版本
BIG-IP 14.x版本
BIG-IP 13.x版本
BIG-IP 12.x和BIG-IP 11.x版本
修复建议：
及时测试并升级到最新版本或升级版本
来源：安恒信息应急响应中心
3. VMware产品多个漏洞
漏洞介绍：
近日，安恒应急响应中心监测到VMware官方发布安全公告，修复了VMware 相关产品的多个安全漏洞，对应漏洞编号：CVE-2021-22022、CVE-2021-22023、CVE-2021-22024、CVE-2021-22025、CVE-2021-22026、CVE-2021-22027。
漏洞危害：
CVE-2021-22022：vRealize Operations Manager API存在任意文件读取漏洞，该漏洞允许对vRealize Operations Manager API具有管理访问权限的恶意攻击者读取服务器上的任何任意文件，可能导致敏感信息泄露。
CVE-2021-22023：vRealize Operations Manager API 存在不安全的对象引用漏洞，该漏洞允许对vRealize Operations Manager API具有管理权限的恶意攻击者修改其他用户信息，从而导致帐户接管。
CVE-2021-22024：vRealize Operations Manager API存在任意日志文件读取漏洞，该漏洞允许通过网络访问 vRealize Operations Manager API 的未授权攻击者读取日志文件，可能导致服务器敏感信息泄露。
CVE-2021-22025：vRealize Operations Manager API存在访问控制缺陷，该漏洞允许通过网络访问 vRealize Operations Manager API 的未授权攻击者向现有vROps 群集添加新节点。
CVE-2021-22026、CVE-2021-22027：vRealize Operations Manager API存在服务端请求伪造漏洞，该漏洞允许可以通过网络访问 vRealize Operations Manager API 的未授权攻击者执行服务器端请求伪造攻击，访问用户内网资源，从而导致内网信息泄露
影响范围：
vRealize Operations Manager < 8.5.0
VMware Cloud Foundation (vROps)4.x、3.x版本
vRealize Suite Lifecycle Manager (vROps) 8.x版本
修复建议：
及时测试并升级到最新版本或升级版本
来源：安恒信息应急响应中心
4. Confluence OGNL 注入漏洞
漏洞介绍：
Confluence是Atlassian公司的一个专业的企业知识管理与协同软件，也可以用于构建企业wiki。
漏洞危害：
Confluence Server和Confluence Data Center上存在一个OGNL注入漏洞，允许经过身份验证或在某些情况下未授权的攻击者，在Confluence Server或Confluence Data Center实例上执行任意代码。
漏洞编号：
CVE-2021-26084
影响范围：
Confluence Server & Confluence Data Center< 6.13.23
Confluence Server & Confluence Data Center< 7.11.6
Confluence Server & Confluence Data Center< 7.12.5
Confluence Server & Confluence Data Center< 7.4.11
修复建议：
及时测试并升级到最新版本
来源：360CERT
专注渗透测试技术
全球最新网络攻击技术