OSCS开源安全周报第10期：Linux openvswitch 内核模块提权漏洞 poc 公开

2022-09-13 460

本周安全态势综述

OSCS 社区共收录安全漏洞37个，公开漏洞值得关注的是 Linux Kernel openvswitch 模块权限提升漏洞（CVE-2022-2639），Apache IoTDB grafana-connector 模块存在未授权漏洞（CVE-2022-38370），Indy-Node 远程代码执行漏洞（CVE-2022-31020），Rancher 存在授权不当漏洞（CVE-2022-31247）和 Apache James 存在 IMAP 指令注入漏洞（CVE-2022-28220）。

针对 NPM 仓库，共监测到 4 次投毒事件，涉及 57 个不同版本的 NPM 组件，投毒组件中绝大多数行为是尝试获取主机敏感信息。

重要安全漏洞列表

Linux Kernel openvswitch 模块权限提升漏洞（CVE-2022-2639）

在 Linux Kernel openvswitch 模块中的 reserve_sfa_size 方法存在整数溢出错误，在给定足够多的 actions 时，可能会导致越界写入访问。攻击者可利用此漏洞获取系统 root 权限。

注意：该漏洞 POC、EXP 均已公开，影响从3.13至5.18以前的linux 内核。

参考链接：https://www.oscs1024.com/hd/MPS-2022-53208

Apache IoTDB grafana-connector 模块存在未授权漏洞（CVE-2022-38370）

Apache IoTDB是针对时间序列数据收集、存储与分析一体化的数据管理引擎。

在Apache IoTDB grafana-connector 0.13.0 版本中DatabaseConnectController存在未授权漏洞，攻击者可以未授权访问/query、/search接口，进而通过web服务可能会获取数据库的内部结构。

参考链接：https://www.oscs1024.com/hd/MPS-2022-55568

Indy-Node 远程代码执行漏洞（CVE-2022-31020）

Indy-Node 是分布式账本的服务端。

受影响版本 Indy-Node 中的 pool-upgrade 请求处理程序允许未经正确身份验证的攻击者在网络内的节点上远程执行代码。攻击者可利用该漏洞进行远程代码执行。

参考链接：https://www.oscs1024.com/hd/MPS-2022-11050

Rancher 存在授权不当漏洞（CVE-2022-31247）

Rancher 是一个 Kubernetes 管理平台。

Rancher 的受影响版本中存在授权不当漏洞，任何有权创建/编辑集群角色模板绑定或项目角色模板绑定的用户都可以利用这个漏洞，在同一集群中的另一个项目中或在不同下游集群中的另一个项目中获得所有者权限。

参考链接：https://www.oscs1024.com/hd/MPS-2022-11287

Apache James 存在 IMAP 指令注入漏洞（CVE-2022-28220）

Apache James 是用Java编写的开源SMTP和POP3邮件传输代理和NNTP新闻服务器。

Apache James 的受影响版本容易在中间人攻击的情况下受到 IMAP 指令注入的攻击，中间人攻击者在服务端收到客户端的激活 STARTTLS 和开启 SSL 之间通过条件竞争进行 IMAP 指令注入，导致泄露邮件内容中的敏感信息。

参考链接：https://www.oscs1024.com/hd/MPS-2022-7272

*查看漏洞详情页，支持免费检测项目中使用了哪些有缺陷的第三方组件

投毒风险监测

OSCS针对 NPM 仓库监测的恶意组件数量如下所示。

本周新发现 57 个不同版本的恶意组件，其中

100%的投毒组件为：获取主机敏感信息（获取了主机的用户名、IP 等敏感信息发送给恶意服务器）

其他资讯

微软和云提供商开始禁止基本身份验证

https://www.darkreading.com/cloud/microsoft-cloud-providers-ban-basic-authentication

EvilProxy 将反向代理策略用于网络钓鱼，绕过 2FA

https://www.darkreading.com/vulnerabilities-threats/evilproxy-commodifies-reverse-proxy-tactic-phishing-bypassing-2fa

情报订阅

OSCS(开源软件供应链安全社区)通过最快、最全的方式，发布开源项目最新的安全风险动态，包括开源组件安全漏洞、事件等信息。同时提供漏洞、投毒情报的免费订阅服务，社区用户可通过配置飞书、钉钉、企业微信机器人，及时获得一手情报信息推送：

https://www.oscs1024.com/?src=osc

具体订阅方式详见：

https://www.oscs1024.com/docs/vuln-warning/intro/?src=osc

微信关注我们

原文链接：https://www.oschina.net/news/210160

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

BladeDISC 0.2.0 更新发布

在BladeDISC正式开源三个月后，我们发布了0.2.0版本，该更新包含了大量的性能优化与功能增强。 BladeDISC是目前业界领先的支持动态shape的深度学习优化编译器。深度学习优化编译器负责将上层的神经网络计算图转换为底层硬件可执行的程序，当前流行的深度学习优化编译器（TVM[1]、XLA[2]、TensorRT[3]等）对静态shape的支持力度较大，对动态shape的支持则有所欠缺。其中，XLA目前只支持静态shape，TensorRT可以支持ranged shape（即指定尺寸范围内的动态shape）。BladeDISC编译器提供了对动态shape的完整支持，可以将包含动态shape语义的上层模型描述转换为高效的底层可执行程序。更多关于BladeDISC的介绍内容，请查看此处[5]。本文描述BladeDISC v0.2.0版本相对于最初开源版本（即v0.1.0版本）的主要更新内容。性能优化当前的神经网络计算图主要由访存密集型算子（主要包括element-wise/elemental算子及reduce算子）和计算密集型算子（主要包括GEMM和Convolution算...

2022-09-13

393

近日，英特尔公布AI 百佳创新激励计划第七期创新团队名单，Alluxio凭借在AI模型训练优化方面高效的数据平台架构，成为17家AI智慧创新型入选企业之一。此次入选企业所涉领域涵盖大数据、智能制造、智慧零售、智慧城市、智慧金融、音视频、虚拟现实等多个领域。随着第七期团队名单公布，AI百佳所加速的团队正式突破100家，具有里程碑式的意义。英特尔AI 百佳创新激励计划自 2018 年成立以来，以组建AI生态为核心，将AI技术赋能各行各业。英特尔一直秉承“科技至善”的发展理念，并结合各个创新团队的特点，提供多样化的软硬件产品组合与计算集成平台，如酷睿处理器、至强可扩展处理器、FPGA、OpenVINO工具套件、oneAPI工具套件等，帮助创新团队应对智能时代新的工作负载要求，助力创新团队实现多模态、多技术的融合，大幅度提高深度学习应用精度，将智能应用真正落地。前六期中，AI百佳创新企业在英特尔技术和资源的加持下，其产品推理性能平均提升超过5倍，运算效率最高提升40倍，100 多个 AI 项目得到了实际落地和应用推广，伙伴总估值超过1500亿人民币。英特尔AI 百佳第七期伙伴招募计划经过一...

2022-09-13

401

资源下载

更多资源

腾讯云软件源

为解决软件依赖安装时官方源访问速度慢的问题，腾讯云为一些软件搭建了缓存服务。您可以通过使用腾讯云软件源站来提升依赖包的安装速度。为了方便用户自由搭建服务架构，目前腾讯云软件源站支持公网访问和内网访问。

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。

Rocky Linux

Rocky Linux（中文名：洛基）是由Gregory Kurtzer于2020年12月发起的企业级Linux发行版，作为CentOS稳定版停止维护后与RHEL（Red Hat Enterprise Linux）完全兼容的开源替代方案，由社区拥有并管理，支持x86_64、aarch64等架构。其通过重新编译RHEL源代码提供长期稳定性，采用模块化包装和SELinux安全架构，默认包含GNOME桌面环境及XFS文件系统，支持十年生命周期更新。

Sublime Text

Sublime Text具有漂亮的用户界面和强大的功能，例如代码缩略图，Python的插件，代码段等。还可自定义键绑定，菜单和工具栏。Sublime Text 的主要功能包括：拼写检查，书签，完整的 Python API ， Goto 功能，即时项目切换，多选择，多窗口等等。Sublime Text 是一个跨平台的编辑器，同时支持Windows、Linux、Mac OS X等操作系统。