乐趣区

关于java:OSCS开源安全周报第7期本周投毒对象均为-NPM-仓库

jiezi

本周平安态势综述

OSCS 社区共收录安全漏洞 33 个，公开破绽值得关注的是 Apache Flume 存在 JNDI 注入破绽（CVE-2022-34916），Apache Airflow Docker Provider <3.0 存在近程代码执行破绽（CVE-2022-38362）和 Apache ActiveMQ Artemis 存在 HTML 注入破绽（CVE-2022-35278）。

针对 NPM 仓库，共监测到 5 次投毒事件，波及 36 个不同版本的 NPM 组件，投毒组件中绝大多数行为是尝试获取主机敏感信息。

重要安全漏洞列表

  1. Apache Flume 存在 JNDI 注入破绽（CVE-2022-34916）

Apache Flume 是一种分布式、牢靠且可用的服务，用于高效收集、聚合和挪动大量日志数据。

Apache Flume 的破绽版本中因为配置不当存在 JNDI 注入破绽，攻击者能够利用此破绽进行近程代码执行。

参考链接：https://www.oscs1024.com/hd/M…

  1. Apache Airflow Docker Provider <3.0 存在近程代码执行破绽（CVE-2022-38362）

Apache Airflow Docker 是一个用于创立、治理和监控工作流程的开源平台。

在受影响版本中存在近程命令执行破绽。

攻击者可利用该破绽获取隐衷数据，甚至接管服务器。

参考链接：https://www.oscs1024.com/hd/M…

  1. Apache ActiveMQ Artemis 存在 HTML 注入破绽（CVE-2022-35278）。

Apache ActiveMQ 是一个用 Java 编写的开源音讯代理以及残缺的 Java 音讯服务 (JMS) 客户端。

Apache ActiveMQ Artemis 的破绽版本存在 HTML 注入破绽。

攻击者能够通过在地址或队列名称中应用 HTML 来显示歹意内容或将用户申请重定向到 Web 控制台中的歹意 URL。

参考链接：https://www.oscs1024.com/hd/M…

投毒危险监测

OSCS 针对 NPM 仓库监测的歹意组件数量如下所示，其中 NPM 仓库仍旧是次要投毒对象。

  • 本周新发现 36 个不同版本的歹意组件，其中
    • 100% 的投毒组件为：获取主机敏感信息（获取了主机的用户名、IP 等敏感信息）

其余资讯

微软员工在 github 裸露了本人公司的外部登录信息

https://www.vice.com/en/article/m7gb43/microsoft-employees-exposed-login-credentials-azure-github

情报订阅

OSCS(开源软件供应链平安社区) 通过最快、最全的形式，公布开源我的项目最新的平安危险动静，包含开源组件安全漏洞、事件等信息。同时提供破绽、投毒情报的收费订阅服务，社区用户可通过配置飞书、钉钉、企业微信机器人，及时取得一手情报信息推送：

https://www.oscs1024.com/?src=sf

具体订阅形式详见：

https://www.oscs1024.com/docs/vuln-warning/intro/?src=sf

退出移动版