Apache Commons Net <3.9.0 存在FTP跳转攻击漏洞-低调大师

Apache Commons Net <3.9.0 存在FTP跳转攻击漏洞

2022-12-04 470 89

漏洞描述

Apache Commons Net 是一个提供基本的互联网访问协议的客户端，支持的协议包括：Echo、Finger、FTP、NNTP、NTP、POP3(S)、SMTP(S)、Telnet、Whois 等。

Apache Commons Net 3.9.0之前版本中的 FTP 客户端默认信任来自 PASV （被动 FTP）响应的主机，当 Commons Net 的 FTP 客户端连接到攻击者可控的恶意主机时，攻击者可将 Commons Net 的 FTP 连接重定向到其它主机，进而获取 Commons Net FTP 客户端服务通过 FTP 协议传输的文件信息，补丁版本通过默认禁止来自 PASV 响应的主机（org.apache.commons.net.ftp.ipAddressFromPasvResponse = false）修复此漏洞。

漏洞名称	Apache Commons Net <3.9.0 存在FTP跳转攻击漏洞
漏洞类型	输入验证不恰当
发现时间	2022-12-04
漏洞影响广度	小
MPS编号	MPS-2021-28440
CVE编号	CVE-2021-37533
CNVD编号	-

影响范围

commons-net:commons-net@(-∞, 3.9.0)

修复方案

升级commons-net:commons-net到 3.9.0 或更高版本

参考链接

https://www.oscs1024.com/hd/MPS-2021-28440

https://nvd.nist.gov/vuln/detail/CVE-2021-37533

https://github.com/apache/commons-net/commit/b0bff89f70cfea70009e22f87639816cc3993974

https://issues.apache.org/jira/browse/NET-711.

https://github.com/advisories/GHSA-cgp8-4m63-fhh5

情报订阅

OSCS(开源软件供应链安全社区)通过最快、最全的方式，发布开源项目最新的安全风险动态，包括开源组件安全漏洞、事件等信息。同时提供漏洞、投毒情报的免费订阅服务，社区用户可通过配置飞书、钉钉、企业微信机器人，及时获得一手情报信息推送：

https://www.oscs1024.com/cm/?src=osc

具体订阅方式详见：

https://www.oscs1024.com/docs/vuln-warning/intro/?src=osc

微信关注我们

原文链接：https://www.oschina.net/news/220525

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

Genode OS 22.11 发布，开源操作系统框架

Genode OS 22.11 已正式发布。 Genode 操作系统框架是一个用于构建高度安全的专用操作系统的工具包。它可以从只有 4MB 内存的嵌入式系统扩展到高度动态的通用工作负载。 Genode 基于递归系统结构。每个程序都在专门的沙箱中运行，并且仅授予其特定用途所需的访问权限和资源。程序可以利用自己的资源创建和管理子沙箱，从而形成可以在每个级别应用策略的层次结构。该框架提供了让程序相互通信和交换资源的机制，但只能以严格定义的方式进行。由于这种严格的制度，与当代操作系统相比，安全关键功能的攻击面可以减少几个数量级。该框架将 L4 的构建原则与 Unix 哲学保持一致。根据 Unix 哲学，Genode 是一组小型构建块的集合，从中可以组成复杂的系统。但与 Unix 不同的是，这些构建块不仅包括应用程序，还包括所有经典的操作系统功能，例如内核、设备驱动程序、文件系统和协议栈。特性 CPU 架构：x86（32 和 64 位）、ARM（32 和 64 位）、RISC-V 内核：L4 家族的大多数成员（NOVA、seL4、Fiasco.OC、OKL4 v2.1、L4ka::Pista...

541

DedeCMS 创始人林学先生（IT柏拉图）因罹患癌症逝世

来自 Dedebiz 的消息： 2022年12月3日下午DedeCMS创始人林学先生（IT柏拉图）因罹患癌症逝世。林学先生生于1979年10月10日，于2004年8月编写的DedeCMS至今仍有数十万企业、个人站长使用，在使用者中不免有一些互联网巨头，其中bilibili更是基于DedeCMS白手起家，而林学先生一直秉承着开源免费的理念，通过技术改变了中国，却从未因DedeCMS过上体面的生活。在此我们缅怀林学先生为中国开源作出的贡献，其遗志必将传承下去，为社会创造更多价值。

376

资源下载

更多资源

Mario，低调大师唯一一个Java游戏作品

马里奥是站在游戏界顶峰的超人气多面角色。马里奥靠吃蘑菇成长，特征是大鼻子、头戴帽子、身穿背带裤，还留着胡子。与他的双胞胎兄弟路易基一起，长年担任任天堂的招牌角色。

Oracle Database，又名Oracle RDBMS

Oracle Database，又名Oracle RDBMS，或简称Oracle。是甲骨文公司的一款关系数据库管理系统。它是在数据库领域一直处于领先地位的产品。可以说Oracle数据库系统是目前世界上流行的关系数据库管理系统，系统可移植性好、使用方便、功能强，适用于各类大、中、小、微机环境。它是一种高效率、可靠性好的、适应高吞吐量的数据库方案。

Apache Tomcat7、8、9（Java Web服务器）

Tomcat是Apache 软件基金会（Apache Software Foundation）的Jakarta 项目中的一个核心项目，由Apache、Sun 和其他一些公司及个人共同开发而成。因为Tomcat 技术先进、性能稳定，而且免费，因而深受Java 爱好者的喜爱并得到了部分软件开发商的认可，成为目前比较流行的Web 应用服务器。

Sublime Text 一个代码编辑器

Sublime Text具有漂亮的用户界面和强大的功能，例如代码缩略图，Python的插件，代码段等。还可自定义键绑定，菜单和工具栏。Sublime Text 的主要功能包括：拼写检查，书签，完整的 Python API ， Goto 功能，即时项目切换，多选择，多窗口等等。Sublime Text 是一个跨平台的编辑器，同时支持Windows、Linux、Mac OS X等操作系统。