OSCS开源安全周报第7期：本周投毒对象均为 NPM 仓库

本周安全态势综述

OSCS社区共收录安全漏洞33个，公开漏洞值得关注的是Apache Flume 存在JNDI注入漏洞（CVE-2022-34916），Apache Airflow Docker Provider <3.0 存在远程代码执行漏洞（CVE-2022-38362）和Apache ActiveMQ Artemis 存在 HTML 注入漏洞（CVE-2022-35278）。

针对 NPM 仓库，共监测到 5 次投毒事件，涉及 36 个不同版本的 NPM 组件，投毒组件中绝大多数行为是尝试获取主机敏感信息。

重要安全漏洞列表

1、Apache Flume 存在 JNDI 注入漏洞（CVE-2022-34916）

Apache Flume 是一种分布式、可靠且可用的服务，用于高效收集、聚合和移动大量日志数据。

Apache Flume 的漏洞版本中由于配置不当存在JNDI注入漏洞，攻击者可以利用此漏洞进行远程代码执行。

参考链接：https://www.oscs1024.com/hd/MPS-2022-42766

2、Apache Airflow Docker Provider <3.0 存在远程代码执行漏洞（CVE-2022-38362）

Apache Airflow Docker 是一个用于创建、管理和监控工作流程的开源平台。

在受影响版本中存在远程命令执行漏洞。

攻