开源生态安全OSCS-CSDN博客

原创 OSCS开源安全周报第 59 期：Apache Superset＜2.1.1 远程代码执行漏洞(CVE-2023-37941)

OSCS 社区共收录安全漏洞个，公开漏洞值得关注的是远程代码执行漏洞( CVE-2023-37941 )、命令可绕过配置( CVE-2023-41053 )、集群密钥泄漏风险( CVE-2023-40029 )、注入漏洞( CVE-2023-39358 )。针对仓库，共监测到个不同版本的投毒组件，值得关注的是等投毒组件包窃取系统敏感信息(

2023-09-11 14:12:14 505

原创 OSCS 安全周报第 58 期：VMware Aria Operations SSH 身份验证绕过漏洞 (CVE-2023-34039)

当用户安装受影响版本的 node-hide-console-windows、javascript_process NPM组件包时会从 https://reveal-me.fr/Client-built.exe 下载恶意木马软件，该软件包含 PasswordStealer、rootkit、Token grabber 等恶意组件，进而窃取Windows系统指纹、用户密码、Discord 账户信息等并发送到攻击者可控的服务器(104.244.46.211)。反序列化漏洞( CVE-2023-40195 )。

2023-09-04 18:47:47 809

原创 VMware Aria Operations SSH 身份验证绕过漏洞 (CVE-2023-34039)

VMware Aria Operations for Networks 是 VMware 公司提供的一款网络可视性和分析工具，用于优化网络性能或管理各种VMware和Kubernetes部署。在受影响版本中存在身份验证绕过漏洞，由于Aria Operations SSH不同版本使用固定的私钥和相同的主机密钥。攻击者获取私钥可以直接连接SSH，从而获得对Aria Operations for Networks CLI的访问权限。

2023-09-01 17:10:21 549

原创【高危】Apache Airflow Spark Provider 反序列化漏洞 (CVE-2023-40195)

墨知是国内首个专注软件供应链安全领域的技术社区，社区致力于为国内数百万技术人员提供全方位的软件供应链安全专业知识内容，包括软件供应链安全技术、漏洞情报、开源组件安全、SBOM、软件成分分析（SCA）、开源许可证合规等前沿技术及最佳实践。墨知通过促进知识共享、技术研究和合作交流，帮助组织和个人提高软件供应链的安全性，减少供应链攻击的风险，并保护软件生态系统的整体安全。

2023-08-31 11:04:02 851

原创 com.google.guava:guava 组件安全漏洞及健康分析

wp:table维护者google组织许可证类型Apache-2.0首次发布2010 年 4 月 26 日最新发布时间2023 年 8 月 1 日4818910716依赖包28,694依赖存储库219,576/wp:tableGuava 是 Google 的一组核心 Java 库，其中包括新的集合类型（例如 multimap 和 multiset）、不可变集合、图形库以及用于并发、I/O、哈希、原语、字符串等的实用程序。

2023-08-30 16:21:49 817

原创 org.mockito:mockito-core 组件安全漏洞及健康度分析

wp:table维护者mockito组织许可证类型MIT首次发布2008 年 4 月 29 日最新发布时间2023 年 8 月 27 日141592478依赖包24,748依赖存储库145,258/wp:tableorg.mockito:mockito-core是一个流行的 Java 模拟框架，它提供了一个简洁的 API 来创建和使用模拟对象。它支持 Java 8 及以上版本，并且与 JUnit 4 和 JUnit 5 兼容。

2023-08-30 16:17:33 315

原创 com.squareup.okhttp3:okhttp 组件安全漏洞及健康度分析

墨知是国内首个专注软件供应链安全领域的技术社区，社区致力于为国内数百万技术人员提供全方位的软件供应链安全专业知识内容，包括软件供应链安全技术、漏洞情报、开源组件安全、SBOM、软件成分分析（SCA）、开源许可证合规等前沿技术及最佳实践。

2023-08-30 16:12:59 1083

原创 OSCS开源安全周报第 57 期：Smartbi windowUnloading限制绕过导致远程代码执行

OSCS 社区共收录安全漏洞 13 个，公开漏洞值得关注的是 WinRAR

2023-08-28 17:48:49 214

原创 WinRAR＜6.23 远程代码执行漏洞【Poc公开】(CVE-2023-38831) [有POC]

墨知是国内首个专注软件供应链安全领域的技术社区，社区致力于为国内数百万技术人员提供全方位的软件供应链安全专业知识内容，包括软件供应链安全技术、漏洞情报、开源组件安全、SBOM、软件成分分析（SCA）、开源许可证合规等前沿技术及最佳实践。墨知通过促进知识共享、技术研究和合作交流，帮助组织和个人提高软件供应链的安全性，减少供应链攻击的风险，并保护软件生态系统的整体安全。

2023-08-28 11:02:38 322

原创【中危】Spring Kafka 反序列化漏洞 (CVE-2023-34040)

墨知是国内首个专注软件供应链安全领域的技术社区，社区致力于为国内数百万技术人员提供全方位的软件供应链安全专业知识内容，包括软件供应链安全技术、漏洞情报、开源组件安全、SBOM、软件成分分析（SCA）、开源许可证合规等前沿技术及最佳实践。墨知通过促进知识共享、技术研究和合作交流，帮助组织和个人提高软件供应链的安全性，减少供应链攻击的风险，并保护软件生态系统的整体安全。

2023-08-25 15:37:24 796 2

原创【高危】Kubernetes Windows节点kubernetes-csi-proxy提权漏洞 (CVE-2023-3893)

墨知是国内首个专注软件供应链安全领域的技术社区，社区致力于为国内数百万技术人员提供全方位的软件供应链安全专业知识内容，包括软件供应链安全技术、漏洞情报、开源组件安全、SBOM、软件成分分析（SCA）、开源许可证合规等前沿技术及最佳实践。墨知通过促进知识共享、技术研究和合作交流，帮助组织和个人提高软件供应链的安全性，减少供应链攻击的风险，并保护软件生态系统的整体安全。

2023-08-25 15:32:17 419

原创【中危】Apache XML Graphics Batik＜1.17 存在SSRF漏洞 (CVE-2022-44729)

墨知是国内首个专注软件供应链安全领域的技术社区，社区致力于为国内数百万技术人员提供全方位的软件供应链安全专业知识内容，包括软件供应链安全技术、漏洞情报、开源组件安全、SBOM、软件成分分析（SCA）、开源许可证合规等前沿技术及最佳实践。墨知通过促进知识共享、技术研究和合作交流，帮助组织和个人提高软件供应链的安全性，减少供应链攻击的风险，并保护软件生态系统的整体安全。

2023-08-25 15:17:36 1542

原创【严重】Smartbi windowUnloading 限制绕过导致远程代码执行 (MPS-e2z8-wdi6)

墨知是国内首个专注软件供应链安全领域的技术社区，社区致力于为国内数百万技术人员提供全方位的软件供应链安全专业知识内容，包括软件供应链安全技术、漏洞情报、开源组件安全、SBOM、软件成分分析（SCA）、开源许可证合规等前沿技术及最佳实践。

2023-08-23 16:22:23 346

原创【高危】WPS Office 远程代码执行漏洞(WPSSRC-2023-0701绕过) (MPS-qjky-hw9x)

墨知是国内首个专注软件供应链安全领域的技术社区，社区致力于为国内数百万技术人员提供全方位的软件供应链安全专业知识内容，包括软件供应链安全技术、漏洞情报、开源组件安全、SBOM、软件成分分析（SCA）、开源许可证合规等前沿技术及最佳实践。

2023-08-23 16:18:36 241

原创【高危】致远A8前台上传解压漏洞 (MPS-6tdh-8qpu)

墨知是国内首个专注软件供应链安全领域的技术社区，社区致力于为国内数百万技术人员提供全方位的软件供应链安全专业知识内容，包括软件供应链安全技术、漏洞情报、开源组件安全、SBOM、软件成分分析（SCA）、开源许可证合规等前沿技术及最佳实践。

2023-08-23 15:23:45 456

原创【中危】Apache Ivy＜2.5.2 存在XXE漏洞（CVE-2022-46751）

墨菲安全是一家为您提供专业的软件供应链安全管理的科技公司，核心团队来自百度、华为、乌云等企业，公司为客户提供完整的软件供应链安全管理平台，围绕SBOM提供软件全生命周期的安全管理，平台能力包括软件成分分析、源安全管理、容器镜像检测、漏洞情报预警及商业软件供应链准入评估等多个产品。为客户提供从供应链资产识别管理、风险检测、安全控制、一键修复的完整控制能力。

2023-08-22 18:12:53 1217

原创【高危】WinRAR＜6.23 远程代码执行漏洞（CVE-2023-40477）

墨菲安全是一家为您提供专业的软件供应链安全管理的科技公司，核心团队来自百度、华为、乌云等企业，公司为客户提供完整的软件供应链安全管理平台，围绕SBOM提供软件全生命周期的安全管理，平台能力包括软件成分分析、源安全管理、容器镜像检测、漏洞情报预警及商业软件供应链准入评估等多个产品。WinRAR 6.23之前版本的恢复卷功能未对用户提供的数据有效验证从而导致内存越界访问，攻击者可诱使用户使用 WinRAR 打开恶意文件，在当前进程中执行任意代码从而接管用户主机。谨慎使用 WinRAR 打开不受信任的文件。

2023-08-22 18:11:51 361

原创【高危】Windows Server NPS 远程代码执行漏洞

墨菲安全是一家为您提供专业的软件供应链安全管理的科技公司，核心团队来自百度、华为、乌云等企业，公司为客户提供完整的软件供应链安全管理平台，围绕SBOM提供软件全生命周期的安全管理，平台能力包括软件成分分析、源安全管理、容器镜像检测、漏洞情报预警及商业软件供应链准入评估等多个产品。产品可以极低成本的和现有开发流程中的各种工具一键打通，包括 IDE、Gitlab、Bitbucket、Jenkins、Harbor、Nexus 等数十种工具无缝集成。

2023-08-22 18:11:10 216

原创【高危】MarkText＜=0.17.1 存在DOM型XSS漏洞（CVE-2023-2318）

墨菲安全是一家为您提供专业的软件供应链安全管理的科技公司，核心团队来自百度、华为、乌云等企业，公司为客户提供完整的软件供应链安全管理平台，围绕SBOM提供软件全生命周期的安全管理，平台能力包括软件成分分析、源安全管理、容器镜像检测、漏洞情报预警及商业软件供应链准入评估等多个产品。MarkText 0.17.1及之前版本中的 pasteCtrl 类未对用户可控的 HTML 内容进行过滤，当用户将攻击者可控的 HTML 代码粘贴至 MarkText 编辑器中时，攻击者可利用DOM型XSS攻击远程执行任意代码。

2023-08-22 18:09:29 119

原创【高危】腾讯QQ Windows版客户端1-click远程代码执行风险

墨菲安全是一家为您提供专业的软件供应链安全管理的科技公司，核心团队来自百度、华为、乌云等企业，公司为客户提供完整的软件供应链安全管理平台，围绕SBOM提供软件全生命周期的安全管理，平台能力包括软件成分分析、源安全管理、容器镜像检测、漏洞情报预警及商业软件供应链准入评估等多个产品。产品可以极低成本的和现有开发流程中的各种工具一键打通，包括 IDE、Gitlab、Bitbucket、Jenkins、Harbor、Nexus 等数十种工具无缝集成。攻击者可能利用该特性诱使用户点击运行恶意木马文件，控制用户主机。

2023-08-22 18:08:54 114

原创【高危】Apache Airflow Spark Provider 任意文件读取漏洞（CVE-2023-40272）

墨菲安全是一家为您提供专业的软件供应链安全管理的科技公司，核心团队来自百度、华为、乌云等企业，公司为客户提供完整的软件供应链安全管理平台，围绕SBOM提供软件全生命周期的安全管理，平台能力包括软件成分分析、源安全管理、容器镜像检测、漏洞情报预警及商业软件供应链准入评估等多个产品。攻击者可以通过构造参数?产品可以极低成本的和现有开发流程中的各种工具一键打通，包括 IDE、Gitlab、Bitbucket、Jenkins、Harbor、Nexus 等数十种工具无缝集成。

2023-08-22 10:37:39 986

原创【中危】PowerJob 未授权访问漏洞（CVE-2023-36106）

墨菲安全是一家为您提供专业的软件供应链安全管理的科技公司，核心团队来自百度、华为、乌云等企业，公司为客户提供完整的软件供应链安全管理平台，围绕SBOM提供软件全生命周期的安全管理，平台能力包括软件成分分析、源安全管理、容器镜像检测、漏洞情报预警及商业软件供应链准入评估等多个产品。在 PowerJob 受影响版本中存在错误的访问控制漏洞。产品可以极低成本的和现有开发流程中的各种工具一键打通，包括 IDE、Gitlab、Bitbucket、Jenkins、Harbor、Nexus 等数十种工具无缝集成。

2023-08-22 10:35:34 324

原创【中危】 Apache NiFi 连接 URL 验证绕过漏洞（CVE-2023-40037）

墨菲安全是一家为您提供专业的软件供应链安全管理的科技公司，核心团队来自百度、华为、乌云等企业，公司为客户提供完整的软件供应链安全管理平台，围绕SBOM提供软件全生命周期的安全管理，平台能力包括软件成分分析、源安全管理、容器镜像检测、漏洞情报预警及商业软件供应链准入评估等多个产品。产品可以极低成本的和现有开发流程中的各种工具一键打通，包括 IDE、Gitlab、Bitbucket、Jenkins、Harbor、Nexus 等数十种工具无缝集成。Apache NiFi 是一个开源的数据流处理和自动化工具。

2023-08-22 10:29:33 1114

转载近期大型攻防演练观感及未来攻防趋势判断

此外，对于攻击方来说，整理和收集这些开源组件通用漏洞的POC/EXP，相对来说成本很低，而且很多都已经整理成现成的攻击工具了，像今年国产的低代码开源项目Jeecg-boot出了好几个0day（老惨了），这类系统漏洞很多，并且相对来说获取成本比较低，而国内又确实有不少关基的客户在用，打起来性价比还是相当不错的，此外就是一些针对python及npm的投毒，这些攻击起来门槛比较低，说不定有意外的收获。最后，因为这些市场覆盖率高的产品，大部分关基行业的客户都会用，而且拿这些产品的0day打进去，不容易被拦截。

2023-08-21 18:34:34 73

原创 OSCS开源安全周报第 56 期：Apache Airflow Spark Provider 任意文件读取漏洞

OSCS 社区共收录安全漏洞 3 个，公开漏洞值得关注的是 Apache NiFi 连接 URL 验证绕过漏洞(CVE-2023-40037)、PowerJob 未授权访问漏洞(CVE-2023-36106)、Apache Airflow Spark Provider 任意文件读取漏洞(CVE-2023-40272)针对 NPM 、PyPI 仓库，共监测到 81 个不同版本的毒组件，其中 NPM 组件包 mall-front-babel-directive 等携带远控木马，该系列的组件包具有持续性威胁行为

2023-08-21 14:43:36 1948

原创 OSCS开源安全周报第24期：XStream 栈缓冲区溢出漏洞

OSCS 社区共收录安全漏洞 11 个，公开漏洞值得关注的是 XStream < 1.4.20 栈缓冲区溢出漏洞（CVE-2022-41966）,Linux Kernel ksmbd模块存在任意代码执行漏洞（CVE-2022-47939）,Squid 存在整数溢出漏洞（CVE-2022-41318）,MeterSphere

2023-01-03 16:22:54 771

原创 XStream ＜ 1.4.20 栈缓冲区溢出漏洞

OSCS(开源软件供应链安全社区)通过最快、最全的方式，发布开源项目最新的安全风险动态，包括开源组件安全漏洞、事件等信息。XStream 是一个轻量级的、简单易用的开源Java类库，它主要用于将对象序列化成XML（JSON）或反序列化为对象。在使用集合和映射的哈希码来实现强制递归哈希计算时，远程攻击者可以通过栈缓冲区溢出的错误来终止应用程序造成拒绝服务攻击。在1.4.20之前的版本中存在栈缓冲区溢出漏洞，从而导致通过操纵已处理的输入流来造成拒绝服务。该漏洞已存在 POC。

2022-12-29 11:39:23 2177

原创 Apache ShardingSphere-Proxy ＜5.3.0 存在身份认证绕过漏洞

ShardingSphere-Proxy 5.3.0 之前的版本中在使用 MySQL 作为后端数据库时，在客户端认证失败后没有完全清理数据库会话信息，攻击者通过构造一个忽略身份验证失败消息的MySQL客户端则可利用会话执行SQL语句。OSCS(开源软件供应链安全社区)通过最快、最全的方式，发布开源项目最新的安全风险动态，包括开源组件安全漏洞、事件等信息。升级org.apache.shardingsphere:shardingsphere-proxy到 5.3.0 或更高版本。该漏洞已存在POC、EXP。

2022-12-27 11:06:42 768

原创 OSCS开源安全周报第23期：Foxit PDF Reader/Editor 任意代码执行漏洞

OSCS 社区共收录安全漏洞10个，其中公开漏洞值得关注的是针对 NPM 、PyPI 仓库，共监测到 25 个不同版本的 NPM 、PyPI 投毒组件，投毒组件都在尝试获取主机敏感信息；在多个不同名称的 PyPI 包中发现 W4SP 窃取器。Apache Airflow 是一个用于以编程方式创作、安排和监控工作流平台。Apache Airflow Hive Provider 是一个使用 SQL 读取、写入和管理分布式存储中的大型数据集的工具包。

2022-12-26 12:17:43 610

原创 Splunk Enterprise 存在任意代码执行漏洞

OSCS(开源软件供应链安全社区)通过最快、最全的方式，发布开源项目最新的安全风险动态，包括开源组件安全漏洞、事件等信息。Splunk 受影响版本存在任意代码执行漏洞，经过身份验证的攻击者可利用此漏洞通过创建包含恶意代码的 SimpleXML 仪表板（dashboard），进而在操作仪表板生成 PDF 时远程执行恶意代码。Splunk 是一款机器数据的引擎，可用于收集、索引和利用所有应用程序、服务器和设备生成的快速移动型计算机数据。该漏洞已存在 POC。

2022-12-23 11:26:51 1415

原创 Apache Karaf 存在远程代码执行漏洞

Apache Karaf 的受影响版本中由于 jaas.modules.src.main.java.porg.apache.karaf.jass.modules.jdbc.JDBCUtils#doCreateDatasourceuse 中的 lookup 方法没有对 jndiName 有效过滤从而存在远程代码执行漏洞。OSCS(开源软件供应链安全社区)通过最快、最全的方式，发布开源项目最新的安全风险动态，包括开源组件安全漏洞、事件等信息。

2022-12-23 11:21:52 1184

原创 Foxit PDF Reader/Editor 任意代码执行漏洞

Foxit PDF Reader/Editor 受影响版本中在对javascript对象执行操作之前未验证对象是否存在，造成内存引用处理不当，导致存在释放后重用漏洞。攻击者可以利用此漏洞在当前进程的上下文中执行任意代码。OSCS(开源软件供应链安全社区)通过最快、最全的方式，发布开源项目最新的安全风险动态，包括开源组件安全漏洞、事件等信息。Foxit PDF Reader是中国福昕（Foxit）公司的一款PDF阅读器。升级Foxit PDF Editor到 10.1.8、11.2.2 或更高版本。

2022-12-23 11:17:37 573

原创 vm2 ＜3.9.10 存在任意代码执行漏洞

OSCS(开源软件供应链安全社区)通过最快、最全的方式，发布开源项目最新的安全风险动态，包括开源组件安全漏洞、事件等信息。vm2 3.9.10之前版本中由于 WeakMap.prototype.set 方法使用原型查找从而存在任意代码执行漏洞，攻击者可利用此漏洞在沙箱内执行任意恶意代码，导致沙箱崩溃或获取主机对象信息。vm2 是一个基于 Node.js 的沙箱环境，可以使用列入白名单的 Node 内置模块运行不受信任的代码。升级vm2到 3.9.10 或更高版本。该漏洞已存在 POC。

2022-12-22 14:26:28 658

原创 Apache Airflow Hive Provider ＜5.0.0 存在操作系统命令注入漏洞

Apache Airflow Hive Provider 在 5.0.0 之前的版本中由于对airflow/providers/apache/hive/hooks/hive.py文件中hive_cli_params参数不正确初始化，导致存在操作系统命令注入漏洞。OSCS(开源软件供应链安全社区)通过最快、最全的方式，发布开源项目最新的安全风险动态，包括开源组件安全漏洞、事件等信息。将组件 apache-airflow-providers-apache-hive 升级至 5.0.0 及以上版本。

2022-12-22 14:19:11 443

原创 Apache Traffic Server 存在拒绝服务漏洞

Apache Traffic Server 的受影响版本中存在拒绝服务漏洞，漏洞源于 validate_jws 方法未对 JWT token 中的 iss 字段进行有效验证，导致 ATS 服务在解析缺少 iss 字段的 JWT token 时由于空指针异常而崩溃。Apache Traffic Serve（ATS）是一个开源的 HTTP/1.1 和 HTTP/2 缓存代理服务器，uri_signing 是 ATS 的一款 URI 签名插件，用来阻止所有不具有有效 JWT 的请求。

2022-12-21 10:34:55 522

原创 Apache Zeppelin 任意文件删除漏洞

在Apache Zeppelin 0.10.1及以前的版本中“Move folder to Trash”功能存在路径遍历漏洞，由于未对InterpreterSettingManager类remove方法中id参数进行正确校验，攻击者可通过构造包含…OSCS(开源软件供应链安全社区)通过最快、最全的方式，发布开源项目最新的安全风险动态，包括开源组件安全漏洞、事件等信息。官方暂未发布新版本，补丁参考链接为：https://github.com/apache/zeppelin/pull/4282。

2022-12-20 17:49:17 249

原创论坛回顾｜用社区和开发者工具驱动软件供应链安全治理——章华鹏

十二年的企业安全建设、安全社区白帽子、开发者，先后在百度、贝壳负责过企业安全建设，目前负责墨菲安全和 OSCS 社区，专注于软件供应链安全方向。

2022-11-09 16:51:19 806

原创火热报名中｜墨菲安全发起首届 OSCS 软件供应链安全技术论坛

OSCS 软件供应链安全技术论坛是 OSCS 社区针对软件供应链安全主题开展的首场专业性技术论坛，首期论坛由 OSCS 社区创始成员发起，将于在海淀中关村创业大街举办。论坛联合思否、CSDN、OSChina、51CTO、InfoQ、IT168 等媒体及社区深度合作，邀请了一起为大家带来开源项目安全治理、软件供应链安全体系建设、企业软件供应链安全最佳实践，打破安全与研发之间的高壁垒。

2022-10-27 11:13:15 1068

原创 OSCS开源安全周报第13期：Exchange 高危漏洞公开

OSCS 社区共收录安全漏洞31个，公开漏洞值得关注的是 Apache Commons JXPath 存在代码执行漏洞（CVE-2022-41852），Microsoft Exchange 远程代码执行漏洞(ProxyNotShell（CVE-2022-41040），Apache Tomcat 条件竞争漏洞（CVE-2021-43980），FasterXML jackson-databind 小于2.14.0-rc1拒绝服务漏洞（CVE-2022-42003）。

2022-10-10 16:45:46 3850 2

原创亮点抢先看｜ OSCS 软件供应链安全技术论坛重磅来袭

OSCS 作为一个开源软件供应链安全技术社区，致力于联合开发者及安全白帽子提升开源项目的安全性，帮助企业及开发者更安全的使用开源项目。目前已有超过个开源项目已正式加入 OSCS 社区，超过开发者；OSCS 社区已为超过个开源项目，执行超过次开源安全检测，发现安全漏洞超。随着国家 IT 行业的快速发展及信息化的推广与普及，企业软件开发与信息化建设过程中，涉及与使用到的供应链软件比重越来越高，开源技术的应⽤成为了驱动新⼀轮产业数字化升级的核⼼动⼒，软件供应链攻击也成为了行业⾯临的主要威胁。本期论坛将于。

2022-10-08 17:58:01 303

空空如也

空空如也