上周關(guān)注度較高的產(chǎn)品安全漏洞(20211206-20211212)
一、境外廠商產(chǎn)品漏洞
1、Veritas Enterprise Vault代碼執(zhí)行漏洞(CNVD-2021-95586)
Veritas Enterprise Vault是美國Veritas公司的一款企業(yè)級文件保護(hù)、歸檔自動化軟件。Veritas Enterprise Vault14.1.2及之前版本中存在安全漏洞，Enterprise Vault 應(yīng)用程序啟動時會啟動多個服務(wù)，這些服務(wù)在隨機(jī) .NET Remoting TCP 端口上偵聽來自客戶端應(yīng)用程序的命令。由于 .NET Remoting 服務(wù)固有的反序列化行為，攻擊者可以利用Enterprise Vault服務(wù)器上的TCP遠(yuǎn)程服務(wù)和本地IPC服務(wù)。
參考鏈接：https://www.cnvd.org.cn/flaw/show/CNVD-2021-95586
2、Eltima USB Network Gate整數(shù)溢出漏洞
Eltima Usb Network Gate是阿拉伯聯(lián)合酋長國的一款軟件。用于通過Internet或Lan 進(jìn)行遠(yuǎn)程Usb訪問。Eltima USB Network Gate存在安全漏洞，本地攻擊者可利用該漏洞在內(nèi)核模式下執(zhí)行任意代碼或通過特別精心設(shè)計的IO請求包導(dǎo)致拒絕服務(wù)(內(nèi)存損壞和OS崩潰)。
參考鏈接：https://www.cnvd.org.cn/flaw/show/CNVD-2021-95607
3、DELL Dell EMC iDRAC9跨站腳本漏洞(CNVD-2021-94891)
DELL Dell EMC iDRAC9是美國戴爾(DELL)公司的一套包含硬件和軟件的系統(tǒng)管理解決方案。該方案為Dell PowerEdge系統(tǒng)提供遠(yuǎn)程管理、崩潰系統(tǒng)恢復(fù)和電源控制等功能。Dell EMC iDRAC9在4.40.40.00之前版本中存在跨站腳本漏洞，該漏洞源于產(chǎn)品未能過濾輸入數(shù)據(jù)的特殊字符，攻擊者可通過該漏洞導(dǎo)致客戶端代碼執(zhí)行。
參考鏈接：https://www.cnvd.org.cn/flaw/show/CNVD-2021-94891
4、Apache Log4j2存在遠(yuǎn)程代碼執(zhí)行漏洞
Apache Log4j是一個基于Java的日志記錄組件。Apache Log4j2是Log4j的升級版本，通過重寫Log4j引入了豐富的功能特性。該日志組件被廣泛應(yīng)用于業(yè)務(wù)系統(tǒng)開發(fā)，用以記錄程序輸入輸出日志信息。Apache Log4j2存在遠(yuǎn)程代碼執(zhí)行漏洞，攻擊者可利用該漏洞向目標(biāo)服務(wù)器發(fā)送精心構(gòu)造的惡意數(shù)據(jù)，觸發(fā)Log4j2組件解析缺陷，實現(xiàn)目標(biāo)服務(wù)器的任意代碼執(zhí)行，獲得目標(biāo)服務(wù)器權(quán)限。
參考鏈接：https://www.cnvd.org.cn/flaw/show/CNVD-2021-95919
5、Adobe Acrobat/Reader棧緩沖區(qū)溢出漏洞(CNVD-2021-94917)
Adobe Reader(也被稱為Acrobat Reader)是Adobe公司開發(fā)的一款PDF文件閱讀軟件。Adobe Acrobat是由Adobe公司開發(fā)的一款PDF編輯軟件。Adobe Acrobat/Reader存在棧緩沖區(qū)溢出漏洞。攻擊者可利用該漏洞執(zhí)行任意代碼。
參考鏈接：https://www.cnvd.org.cn/flaw/show/CNVD-2021-94917
二、境內(nèi)廠商產(chǎn)品漏洞
1、杭州迪普LSW6600-48XGS6CQ交換機(jī)NTP配置功能存在命令執(zhí)行漏洞
LSW6600-48XGS6CQ是杭州迪普科技股份有限公司一款交換機(jī)產(chǎn)品。杭州迪普LSW6600-48XGS6CQ交換機(jī)NTP配置功能存在命令執(zhí)行漏洞，攻擊者可利用該漏洞獲取在網(wǎng)交換機(jī)設(shè)備完全控制權(quán)限。
參考鏈接：https://www.cnvd.org.cn/flaw/show/CNVD-2021-90836
2、心通達(dá)OA 2021秋實版存在文件上傳漏洞(CNVD-2021-89119)
心通達(dá)OA是一款搭載了AI人工智能的oa辦公工具。心通達(dá)OA 2021秋實版存在文件上傳漏洞，攻擊者可利用該漏洞獲取服務(wù)器控制權(quán)。
參考鏈接：https://www.cnvd.org.cn/flaw/show/CNVD-2021-89119
3、華為USG2210E存在弱口令漏洞
USG2210E安全網(wǎng)關(guān)是面向中小型企業(yè)/分支機(jī)構(gòu)設(shè)計的新一代防火墻/UTM設(shè)備。華為USG2210E存在弱口令漏洞，攻擊者可利用該漏洞獲取敏感信息。
參考鏈接：https://www.cnvd.org.cn/flaw/show/CNVD-2021-93881
4、北京網(wǎng)御星云信息技術(shù)有限公司防火墻存在命令執(zhí)行漏洞
北京網(wǎng)御星云信息技術(shù)有限公司由聯(lián)想網(wǎng)御科技(北京)有限公司更名而來，業(yè)務(wù)涵蓋網(wǎng)絡(luò)邊界安全防護(hù)、應(yīng)用與數(shù)據(jù)安全防護(hù)、全網(wǎng)安全風(fēng)險管理、專業(yè)安全解決方案和專業(yè)安全服務(wù)等多個方向。北京網(wǎng)御星云信息技術(shù)有限公司防火墻存在命令執(zhí)行漏洞，攻擊者可利用該漏洞獲取服務(wù)器控制權(quán)。
參考鏈接：https://www.cnvd.org.cn/flaw/show/CNVD-2021-93921
5、FastAdmin存在文件上傳漏洞
FastAdmin是一款基于ThinkPHP和Bootstrap的極速后臺開發(fā)框架。FastAdmin存在文件上傳漏洞。攻擊者可利用該漏洞獲取服務(wù)器權(quán)限。
參考鏈接：https://www.cnvd.org.cn/flaw/show/CNVD-2021-90404
說明：關(guān)注度分析由CNVD秘書處根據(jù)互聯(lián)網(wǎng)用戶對CNVD漏洞信息查閱情況以及產(chǎn)品應(yīng)用廣泛情況綜合評定。
來源：國家信息安全漏洞共享平臺 https://www.cnvd.org.cn/
