【通信服务】上周关注度较高的产品安全漏洞(20201012-20201018)
一、境外厂商产品漏洞 1、Microsoft Windows错误报告管理器权限提升漏洞 Microsoft Windows和Microsoft Windows Server都是美国微软（Microsoft）公司的产品。Microsoft Windows是一套个人设备使用的操作系统。Microsoft Windows Server是一套服务器操作系统。Microsoft Windows错误报告管理器存在权限提升漏洞。该漏洞源于Windows错误报告管理器未能能正确处理进程崩溃。攻击者可通过运行特制应用程序利用该漏洞删除目标文件，从而可提升权限。 参考链接： https://www.cnvd.org.cn/flaw/show/CNVD-2020-56640 2、MyBatis远程代码执行漏洞 MyBatis是美国阿帕奇（Apache）软件基金会的一款优秀的持久层框架。支持自定义 SQL、存储过程以及高级映射，免除了几乎所有的 JDBC 代码以及设置参数和获取结果集的工作，可以通过简单的 XML 或注解来配置和映射原始类型、接口和 Java POJO（Plain Old Java Objects，普通老式 Java 对象）为数据库中的记录。MyBatis 3.5.6之前版本存在安全漏洞，该漏洞源于错误处理对象流的反序列化。攻击者可利用漏洞将对象反序列化后存储至redis服务器中。 参考链接： https://www.cnvd.org.cn/flaw/show/CNVD-2020-55776 3、Linux kernel内存破坏和读取溢出漏洞 Linux kernel是一种计算机操作系统内核，以C语言和汇编语言写成，符合POSIX标准，按GNU通用公共许可证发行。Linux kernel 5.9-rc7之前版本中的HDLC_PPP模块存在内存破坏和读取溢出漏洞。该漏洞源于ppp_cp_parse_cr函数的输入验证不当。攻击者可利用该漏洞导致系统崩溃。 参考链接： https://www.cnvd.org.cn/flaw/show/CNVD-2020-56790 4、Gitlab runner命令注入漏洞 GitLab是美国GitLab公司的一款使用Ruby on Rails开发的、自托管的、Git（版本控制系统）项目仓库应用程序。该程序可用于查阅项目的文件内容、提交历史、Bug列表等。Gitlab runner 13.2.4之前版本,13.3.2版本，13.4.1版本存在安全漏洞，该漏洞源于在Windows系统上docker executor,攻击者可利用该漏洞在Windows主机上运行任意命令,通过DOCKER_AUTH_CONFIG构建变量。 参考链接： https://www.cnvd.org.cn/flaw/show/CNVD-2020-56455 5、Cisco IOS XE任意代码执行漏洞（CNVD-2020-56468） Cisco IOS XE是美国Cisco公司为其网络设备开发的一套基于Linux内核的模块化操作系统。Cisco IOS XE中Lua解释器的实现存在任意代码执行漏洞。该漏洞源于在用户提供的Lua脚本的上下文中对Lua函数调用的限制不足。攻击者可通过提交恶意Lua脚本利用该漏洞在受影响的设备的底层Linux OS上以root权限执行任意代码。 参考链接： https://www.cnvd.org.cn/flaw/show/CNVD-2020-56468 二、境内厂商产品漏洞 1、首岳资讯网络股份有限公司建站系统存在SQL注入漏洞 首岳资讯网络股份有限公司是一家结合资讯网络、行销通路、系统软件等各项专长人才的公司。首岳资讯网络股份有限公司建站系统存在SQL注入漏洞，攻击者可利用该漏洞获取数据库敏感信息。 参考链接： https://www.cnvd.org.cn/flaw/show/CNVD-2020-55991 2、瑞芯微电子股份有限公司rockchip芯片存在二进制漏洞 瑞芯微电子成立于2001年，是中国专业的集成电路设计公司。瑞芯微电子股份有限公司rockchip芯片存在二进制漏洞，攻击者可利用该漏洞对机密性、完整性、可用性造成影响。 参考链接： https://www.cnvd.org.cn/flaw/show/CNVD-2020-56001 3、浙江齐治科技股份有限公司齐治堡垒机v5.0存在命令执行漏洞 齐治科技是一家由运维管理专家创立、专注于运维操作的产品型公司。浙江齐治科技股份有限公司齐治堡垒机v5.0存在命令执行漏洞，攻击者可利用该漏洞获取服务器控制权限。 参考链接： https://www.cnvd.org.cn/flaw/show/CNVD-2020-56016 4、中版行知（广州）数字传媒有限公司中文馆存在SQL注入漏洞 中版行知（广州）数字传媒有限公司是以信息服务为核心业务，数字资源和移动触碰技术相结合为发展方向。中版行知（广州）数字传媒有限公司中文馆存在SQL注入漏洞。攻击者可利用漏洞获取数据库敏感信息。 参考链接： https://www.cnvd.org.cn/flaw/show/CNVD-2020-56404 5、深圳市邦明科技有限公司建站管家存在未授权访问和任意文件上传漏洞 建站管家是多语言企业建站系统。深圳市邦明科技有限公司建站管家存在未授权访问和任意文件上传漏洞。攻击者可利用该漏洞获取敏感信息，上传webshell，获得服务器权限。 参考链接： https://www.cnvd.org.cn/flaw/show/CNVD-2020-55981 说明：关注度分析由CNVD秘书处根据互联网用户对CNVD漏洞信息查阅情况以及产品应用广泛情况综合评定。 |
关键词：安全|漏洞 |
