共计 1275 个字符，预计需要花费 4 分钟才能阅读完成。
本周平安态势综述
OSCS 社区共收录安全漏洞 33 个，公开破绽值得关注的是 Apache Flume 存在 JNDI 注入破绽（CVE-2022-34916），Apache Airflow Docker Provider <3.0 存在近程代码执行破绽（CVE-2022-38362）和 Apache ActiveMQ Artemis 存在 HTML 注入破绽（CVE-2022-35278）。
针对 NPM 仓库，共监测到 5 次投毒事件，波及 36 个不同版本的 NPM 组件，投毒组件中绝大多数行为是尝试获取主机敏感信息。
重要安全漏洞列表
- Apache Flume 存在 JNDI 注入破绽（CVE-2022-34916）
Apache Flume 是一种分布式、牢靠且可用的服务，用于高效收集、聚合和挪动大量日志数据。
Apache Flume 的破绽版本中因为配置不当存在 JNDI 注入破绽，攻击者能够利用此破绽进行近程代码执行。
参考链接：https://www.oscs1024.com/hd/M…
- Apache Airflow Docker Provider <3.0 存在近程代码执行破绽（CVE-2022-38362）
Apache Airflow Docker 是一个用于创立、治理和监控工作流程的开源平台。
在受影响版本中存在近程命令执行破绽。
攻击者可利用该破绽获取隐衷数据，甚至接管服务器。
参考链接：https://www.oscs1024.com/hd/M…
- Apache ActiveMQ Artemis 存在 HTML 注入破绽（CVE-2022-35278）。
Apache ActiveMQ 是一个用 Java 编写的开源音讯代理以及残缺的 Java 音讯服务 (JMS) 客户端。
Apache ActiveMQ Artemis 的破绽版本存在 HTML 注入破绽。
攻击者能够通过在地址或队列名称中应用 HTML 来显示歹意内容或将用户申请重定向到 Web 控制台中的歹意 URL。
参考链接：https://www.oscs1024.com/hd/M…
投毒危险监测
OSCS 针对 NPM 仓库监测的歹意组件数量如下所示，其中 NPM 仓库仍旧是次要投毒对象。
- 本周新发现 36 个不同版本的歹意组件，其中
- 100% 的投毒组件为：获取主机敏感信息（获取了主机的用户名、IP 等敏感信息）
其余资讯
微软员工在 github 裸露了本人公司的外部登录信息
https://www.vice.com/en/article/m7gb43/microsoft-employees-exposed-login-credentials-azure-github
情报订阅
OSCS(开源软件供应链平安社区) 通过最快、最全的形式，公布开源我的项目最新的平安危险动静，包含开源组件安全漏洞、事件等信息。同时提供破绽、投毒情报的收费订阅服务，社区用户可通过配置飞书、钉钉、企业微信机器人，及时取得一手情报信息推送：
https://www.oscs1024.com/?src=sf
具体订阅形式详见：
https://www.oscs1024.com/docs/vuln-warning/intro/?src=sf
