共计 1738 个字符，预计需要花费 5 分钟才能阅读完成。
随着大数据时代的发展，互联网的技术更是突飞猛进。同时也给了网络犯罪分子带来了有利条件，他们会通过各种方式去给企业造成不同程度的威胁。而我们最常见的就是他们通过程序系统漏洞或者源码漏洞等方式。今天小编关注到 CNVD 即（国家信息安全漏洞共享平台）统计发布了近期出现的几大疑似漏洞，做为网络运维的我们需要了解下。
1、Sequelize SQL 注入漏洞，是一款用于 Node.js 的数据库 ORM（对象关系映射）工具。
漏洞描述：Sequelize 5.8.11 之前版本中存在 SQL 注入漏洞。该漏洞源于基于数据库的应用缺少对外部输入 SQL 语句的验证。攻击者可利用该漏洞执行非法 SQL 命令。
2、Mozilla Thunderbird 类型混淆漏洞，是美国 Mozilla 基金会的一套从 Mozilla Application Suite 独立出来的电子邮件客户端软件。该软件支持 IMAP、POP 邮件协议以及 HTML 邮件格式。
漏洞描述：Mozilla Thunderbird 60.7.1 之前版本中的 icalproperty.c 文件存在类型混淆漏洞。攻击者可通过诱使用户打开特制的邮件利用该漏洞造成应用程序崩溃。
3、歪酷 CMS 存在文件上传漏洞，是一套内容管理系统。
漏洞描述：歪酷 CMS 存在文件上传漏洞，攻击者利用该漏洞获取网站服务器控制权。
4、TPshop 开源商城系统 Ap*.php 文件存在 SQL 注入漏洞，TPshop 一套多商家模式的商城系统。
漏洞描述：TPshop 开源商城系统 Ap*.php 文件存在 SQL 注入漏洞，攻击者可利用该漏洞获取数据库敏感信息。
5、致远 A8+ 协同管理软件存在远程 Getshell 漏洞，是一款协同管理软件及云服务的供应商，专注专注在协同管理软件领域。
漏洞扫描：致远 A8+ 协同管理软件存在远程 Getshell 漏洞。攻击者通过上传精心构造的后门文件即可 Getshell，获得目标服务器的权限。
6、IBM Security Access Manager Appliance 开放重定向漏洞，是美国 IBM 公司的一款基于网络设备的安全解决方案。该产品主要用于访问控制和基于 Web 的威胁防护，提供系统性能监控、日志分析和诊断等功能。
漏洞描述：IBM ISAM Appliance 中存在安全漏洞。攻击者可通过诱使用户访问特制的网站利用该漏洞伪造 URL，将用户重定向到恶意的网站，获取敏感信息或实施其他攻击。
7、Mozilla Firefox 和 Firefox ESR 安全绕过漏洞（CNVD-2019-19289），两款都是美国 Mozilla 基金会的产品。Mozilla Firefox 是一款开源 Web 浏览器。Mozilla Firefox ESR 是 Firefox(Web 浏览器) 的一个延长支持版本。
漏洞扫描：Mozilla Firefox 67.0.4 之前版本和 Firefox ESR 60.7.2 之前版本中存在安全漏洞。攻击者可通过诱使用户访问特制的网站利用该漏洞绕过安全限制。
8、RDK WebUI 组件访问控制错误漏洞和 RDK CcspWifiAgent 模块命令执行漏洞，是 RDK Management 社区的两套模块化、可移植、可定制的开源物联网软件解决方案。CcspWifiAgent 是其中的一个支持 WiFi 功能的模块。
漏洞扫描：RDK RDKB-20181217- 1 版本中的 WebUI 组件的 actionHandlerUtility.php 文件存在访问控制错误漏洞。攻击者可通过向 PHP 后端发送 HTTP POST 请求利用该漏洞控制 DDNS、QoS、RIP 和其他的特权配置。
漏洞描述：RDK RDKB-20181217- 1 版本中的 CcspWifiAgent 模块的 cosa_wifi_apis.c 文件存在安全漏洞。攻击者可通过将 Wi-Fi 网络密码更改成包含有特制转义字符的密码利用该漏洞执行任意的 shell 命令。
针对以上疑似漏洞的程序，墨者安全建议去相对应的官方网站下载最新的补丁程序进行更新；
对待开源商城模式的漏洞、电子邮件的混淆漏洞等重点排查，账号密码更改；
做一些临时缓解的措施，配置 URL 访问控制策略；
采用专业的查杀工具进行查杀处理，重点扫描；
找专业的安全技术人员帮忙协助做深入的排查等。
（注：漏洞信息转载于 CNVD 即国家信息安全漏洞共享平台）
