近期十大安全漏洞通报-低调大师

近期十大安全漏洞通报

2020-08-20 581

如下总结了近期通报的一些安全漏洞，供大家查漏补缺。若有不足之处，请在公众号留言即可。

1.【Apache Struts存在远程代码执行漏洞】

Apache Struts存在远程代码执行。在使用某些tag等情况下可能存在OGNL表达式注入漏洞，从而造成远程代码执行。目前厂商已发布新版本修复此漏洞。

【漏洞编号】CVE-2019-0230

【影响范围】Apache Struts 2.0.0 - 2.5.20

【规避措施】及时进行升级以完成漏洞修复，做好资产自查以及预防工作

2.【深信服终端检测响应平台远程命令漏洞】

深信服终端检测响应平台(EDR)存在远程命令漏洞，攻击者可利用此漏洞对服务器进行远程命令控制。目前厂商已发布新版本修复此漏洞。

【漏洞编号】CNVD-2020-46552

【影响范围】低于EDR3.2.21版本

【规避措施】升级深信服终端检测响应平台(EDR)至最新版本。

3.【深信服终端检测响应平台任意用户登录漏洞】

深信服终端检测响应平台（EDR）存在任意用户登录漏洞。在/web/ui/login.php 代码文件中存在一处逻辑错误，导致攻击者可以通过特殊构造的payload绕过登录判断，获得系统管理员/用户权限。目前厂商已发布新版本修复此漏洞。

【漏洞编号】无

【影响范围】EDR 3.2.19及以下版本

【规避措施】升级深信服终端检测响应平台（EDR）至最新版本。

4.【深信服VPN客户端EasyConnect安装程序DLL劫持漏洞】

深信服SSL VPN 客户端EasyConnect安装程序存在DLL劫持漏洞。攻击者将EasyConnect客户端安装包及伪造的DLL文件发送至用户，通过诱骗方式，使用户点击执行，从而造成恶意逻辑被执行问题。攻击者可利用此漏洞进行社工攻击、权限维持等。目前厂商已发布最新修复补丁。

【漏洞编号】无

【影响范围】M7.6.8 R2及以下版本

【规避措施】深信服官方网站下载并安装修复补丁包。

5.【WebSphere存在远程代码执行漏洞】

WebSphere存在远程代码执行。此漏洞由IIOP协议上的反序列化造成，未经身份认证的攻击者可以通过IIOP协议远程攻击WAS服务器，在目标服务端执行任意代码，获取系统权限，进而接管服务器。目前厂商已发布防御补丁修复此漏洞。

【漏洞编号】CVE-2020-4450

【影响范围】WebSphere Application Server: 9.0.0.0 - 9.0.5.4，WebSphere Application Server: 8.5.0.0 - 8.5.5.17，WebSphere Application Server: 8.0.0.0 - 8.0.0.15，WebSphere Application Server: 7.0.0.0 - 7.0.0.45

【规避措施】及时安装最新补丁以完成漏洞修复，做好资产自查以及预防工作

6.【Apache Shiro存在权限绕过漏洞】

Apache Shiro存在高风险漏洞。该漏洞可导致身份验证绕过。目前厂商已发布新版本修复此漏洞。

【漏洞编号】CVE-2020-13933

【影响范围】低于1.6.0的版本

【规避措施】升级Apache Shiro至最新版本

7.【通达OA存在远程代码执行漏洞】

通达OA存在远程代码执行。攻击者通过构建特殊的URL，可删除鉴权文件auth.inc.php后，系统会判断鉴权文件是否存在，当鉴权文件不存在时，可进行任意文件上传，实现远程代码执行。目前厂商已发布新版本修复此漏洞。

【漏洞编号】无

【影响范围】低于V11.7版本

【规避措施】升级通达OA至最新版本

8.【Apache Dubbo存在远程代码执行漏洞】

Apache Dubbo存在远程代码执行。Hessian2反序列化HashMap对象时，该类中的一些函数在经过一系列调用时可以进行代码执行。例如EqualBean中的HashCode方法，通过构造一些特殊的请求，可以使其加载远程恶意类并执行远程代码。。目前厂商已发布新版本修复此漏洞。

【漏洞编号】CVE-2020-11995

【影响范围】Apache Dubbo 2.5.x、Apache Dubbo 2.6.0 - 2.6.8、Apache Dubbo 2.7.0 - 2.7.7

【规避措施】及时更新Apache Dubbo版本以防御此漏洞。

9.【Microsoft Windows Graphics Components远程代码执行漏洞】

Microsoft Windows Graphics Components中存在远程代码执行漏洞，该漏洞源于Microsoft图形组件处理内存中对象的方式存在问题，攻击者可利用该漏洞在目标系统上执行任意代码。目前厂商已发布漏洞修复补丁。

【漏洞编号】CVE-2020-1153

【影响范围】Microsoft Windows Server 2008 R2 SP1、Microsoft Windows Server 2008 SP2、Microsoft Windows 7 SP1、Microsoft Windows Windows Server 2012、Microsoft Windows 8.1、Microsoft Windows RT 8.1 SP0、Microsoft Windows Server 2012 R2、Microsoft Windows 10、Microsoft Windows 10 1607、Microsoft Windows Server 2016、Microsoft Windows Server 2019、Microsoft Microsoft Windows Server 1803、Microsoft Microsoft Windows Server 1903、Microsoft Windows 10 1709、Microsoft Windows 10 1803、Microsoft Windows 10 1809、Microsoft Windows 10 1903、Microsoft Microsoft Windows Server 1909、Microsoft Windows 10 1909

【规避措施】微软官方网站下载并安装补丁包。

10.【齐治运维堡垒前台远程命令执行漏洞】

浙江齐治科技股份有限公司是一家主要经营计算机软硬件、网络产品的技术开发等项目的公司。齐治运维堡垒机服务端存在命令执行漏洞，攻击者可利用该漏洞获取服务器权限。目前厂商已发布漏洞修复补丁。

【漏洞编号】CNVD-2019-20835

【影响范围】齐治运维堡垒机

【规避措施】下载并安装补丁包

本文分享自微信公众号 - 贝塔安全实验室（BetaSecLab）。
如有侵权，请联系 support@oschina.cn 删除。
本文参与“OSC源创计划”，欢迎正在阅读的你也加入，一起分享。

微信关注我们

原文链接：https://my.oschina.net/u/4587410/blog/4521402

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

采坑总结：鹅厂小哥教你注册中心宕机后正确的处理姿势

导语：微服务化是当前的一大趋势，注册中心既是微服务最基础的组件，也是最核心的组件，它为客户端提供所有可调用的服务列表。也正因如此，注册中心的可用性在微服务架构中要求极高。在实际开发中，虽然我们可以通过一些手段不断的在提高注册中心的可用性，但也无法保证注册中心SLA （Service Level Agreement，服务级别协议）100%的可用性。既然这样，那么当注册中心宕机不可用时，我们应该如何做才能减轻影响呢？ 01 注册中心的职责在分析注册中心宕机带来的影响前，我们先来看下注册中心的职责，下面一张图就可以解释注册中心的主要职责。注册中心：用于服务端注册远程服务以及客户端发现服务。服务端：对外提供后台服务，将自己的服务信息注册到注册中心。客户端：从注册中心获取远程服务的注册信息，然后进行远程过程调用。可以很清晰的看到，在注册中心宕机时，服务注册以及服务发现和服务节点推送都会受到影响，在没有任何缓存的情况下，服务之间的调用都会受到影响。 02 Spring Cloud的服务注册与发现为了更好的阐述注册中心不可用带来的问题，我们先看看 Spring Cloud 的服务注册发...

2020-08-20

675

【前言】：公众号的AI初学者友好互助小组已经建立啦，公众号后台回复【加群】可以直接加入。群里都是些一起学习的朋友，大家学习路上，结个伴。【求大佬】：有没有对推荐算法熟悉又愿意写文章的大佬？联系我～【公众号资源汇总】：炼丹图书馆 | AI初学者所需要的资料合集（视频+PDF下载）文章共3200字，预计阅读时间12min 什么是EfficientNet 模型复合缩放方法把问题用数学来描述实验内容模型复合缩放方法 EfficientNet的基线模型 efficientNet的论文原文链接：https://arxiv.org/pdf/1905.11946.pdf 英语过关的小伙伴也许可以挑战一下？哈哈模型扩展Model scaling一直以来都是提高卷积神经网络效果的重要方法。比如说，ResNet可以增加层数从ResNet18扩展到ResNet200。这次，我们要介绍的是最新的网络结构——EfficientNet，就是一种标准化的模型扩展结果，通过下面的图，我们可以i只管的体会到EfficientNet b0-b7在ImageNet上的效果：对于ImageNet历史上的各种网络...

2020-08-21

671

资源下载

更多资源

Mario

马里奥是站在游戏界顶峰的超人气多面角色。马里奥靠吃蘑菇成长，特征是大鼻子、头戴帽子、身穿背带裤，还留着胡子。与他的双胞胎兄弟路易基一起，长年担任任天堂的招牌角色。

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。

Rocky Linux

Rocky Linux（中文名：洛基）是由Gregory Kurtzer于2020年12月发起的企业级Linux发行版，作为CentOS稳定版停止维护后与RHEL（Red Hat Enterprise Linux）完全兼容的开源替代方案，由社区拥有并管理，支持x86_64、aarch64等架构。其通过重新编译RHEL源代码提供长期稳定性，采用模块化包装和SELinux安全架构，默认包含GNOME桌面环境及XFS文件系统，支持十年生命周期更新。

Sublime Text

Sublime Text具有漂亮的用户界面和强大的功能，例如代码缩略图，Python的插件，代码段等。还可自定义键绑定，菜单和工具栏。Sublime Text 的主要功能包括：拼写检查，书签，完整的 Python API ， Goto 功能，即时项目切换，多选择，多窗口等等。Sublime Text 是一个跨平台的编辑器，同时支持Windows、Linux、Mac OS X等操作系统。