雷神众测漏洞周报2021.07.05-2021.07.11-4

1.GitLab高危漏洞

漏洞介绍：

7月7日，GitLab官方发布了安全更新公告，修复了一个任意文件读取漏洞，该漏洞允许攻击者读取目标GitLab服务器上的任意文件。

漏洞危害：

根据分析，在GitLab CE/EE中发现了一个问题，影响从13.11、13.12和14.0开始的所有版本。通过特别制作的设计（Design/Design Management），允许攻击者读取服务器上的任意文件。

影响范围：

13.11、13.12和14.0开始的GitLab企业版和社区版

修复方案：

及时测试并升级到最新版本或升级版本

来源: 安恒信息应急响应中心

2. YAPI认证用户利用Mock功能远程代码执行

漏洞介绍：

YAPI 是高效、易用、功能强大的 api 管理平台。但因为大量的用户使用 YAPI的默认配置并允许从外部网络访问 YAPI服务。

漏洞危害：

攻击者可以使用 YAPI 的 Mock 功能在受影响的服务器上执行任意 javascript 代码，导致攻击者接管并控制服务器。

影响范围：

本次事件并不是 YAPI 的安全漏洞，属于用户使用时未按照安全的方式对YAPI进行配置。

修复建议：

1. 关闭 YAPI 用户注册功能

2. 禁止 YAPI 所在服务器从外部网络访问

3. 排查 YAPI 服务器是否存在恶意访问记录

来源：360CERT 

3. Windows Defender远程代码执行漏洞

漏洞介绍：

Window Defender 在解析历史文件格式asprotect时采用了虚拟执行的方式，但由于解析过程中Defender以SYSTEM（最高权限）允许，并且对执行过程的DLL加载未进行严格的校验，导致远程任意代码执行。

漏洞危害：

攻击者构造特制的二进制程序，通过邮件等方式投递到用户计算机无需用户打开，即可接管用户计算机。同时该漏洞可绕过Defender的防御策略。

漏洞编号：

CVE-2021-31985

影响范围：

Defender < 1.1.18200.3

修复建议：

及时测试并升级到最新版本或升级版本

来源：360CERT