乐趣区

关于github:OSCS开源安全周报第6期本周投毒事件量相比攻防演练周明显下降

jiezi

本周平安态势综述

OSCS 社区共收录安全漏洞 48 个，其中两个独家破绽，公开破绽值得关注的是 Adobe Premiere Elements 权限晋升破绽（CVE-2022-34235），Apache Traffic Server 申请走私破绽（CVE-2022-31780）和 Zammad 权限晋升破绽（CVE-2022-35490）。

针对 NPM、Python 仓库，共监测到 5 次投毒事件，波及 81 个不同版本的 NPM、Python 组件，投毒组件中绝大多数行为是尝试获取主机敏感信息。

重要安全漏洞列表

  1. Adobe Premiere Elements 权限晋升破绽（CVE-2022-34235）

Adobe Premiere Elements 是 Adobe Systems 公布的视频编辑软件应用程序。

Adobe Premiere Elements 2020v20 及更早版本，因为对搜寻门路元素校验不齐全，导致普通用户可能获取管理员权限。

参考链接：https://www.oscs1024.com/hd/M…

  1. Apache Traffic Server 申请走私破绽（CVE-2022-31780）

Apache Traffic Server (ATS) 是一个模块化、高性能的反向代理和正向代理服务器。

在 Apache Traffic Server 的 HTTP/2 帧解决中存在不当输出验证破绽，导致攻击者可造成 http 申请走私。

参考链接：https://www.oscs1024.com/hd/M…

  1. Zammad 权限晋升破绽（CVE-2022-35490）

Zammad 是一个基于 Web 的用户反对 / 票务解决方案。

Zammad 5.2.0 版本中存在权限晋升破绽。通过可配置的尝试次数后，用户将生效并阻止登录。攻击者能够在用户生效产生之前发送超过配置数量的申请来枚举，从而达到晋升用户权限的目标。

参考链接：https://www.oscs1024.com/hd/M…

投毒危险监测

OSCS 针对 NPM、Python 仓库监测的歹意组件数量如下所示，均匀每天监控发现 11 个歹意包，其中 NPM 仓库仍旧是次要投毒对象，Python 仓库歹意组件数量相比之前有所降落。

本周新发现 81 个不同版本的歹意组件，其中

  • 99% 的投毒组件为：获取主机敏感信息（获取了主机的用户名、IP 等敏感信息）
  • 1% 的投毒组件为：获取主机权限（窃取 通过反射 shell 连贯用户主机）

其余资讯

软件供应链通过新的加密致力博得了平安胜利

https://www.darkreading.com/a…

情报订阅

OSCS(开源软件供应链平安社区) 通过最快、最全的形式，公布开源我的项目最新的平安危险动静，包含开源组件安全漏洞、事件等信息。同时提供破绽、投毒情报的收费订阅服务，社区用户可通过配置飞书、钉钉、企业微信机器人，及时取得一手情报信息推送：

https://www.oscs1024.com/?src=sf

具体订阅形式详见：

https://www.oscs1024.com/docs/vuln-warning/intro/?src=sf

退出移动版