OSCS开源安全周报第24期：XStream 栈缓冲区溢出漏洞

本周安全态势综述

OSCS 社区共收录安全漏洞 11 个，公开漏洞值得关注的是 XStream < 1.4.20 栈缓冲区溢出漏洞（CVE-2022-41966）,Linux Kernel ksmbd模块存在任意代码执行漏洞（CVE-2022-47939）,Squid 存在整数溢出漏洞（CVE-2022-41318）,MeterSphere <2.5.0 存在 SSRF 漏洞（CVE-2022-23544）,elrond-go 存在资源转移错误漏洞（CVE-2022-46173）。

针对 NPM 、PyPI 仓库，共监测到 40 个不同版本的 NPM 、PyPI 投毒组件。

重要安全漏洞列表

1.Linux Kernel ksmbd模块存在任意代码执行漏洞（CVE-2022-47939）

ksmbd是Linux内核从5.15版本开始集成的模块，主要功能为在内核空间中实现 SMB3 协议。由于在对对象执操作之前没有验证对象是否存在，导致处理 SMB2_TREE_DISCONNECT 方法时存在释放后重用漏洞，未经身份验证的攻击者可以利用漏洞此远程执行任意代码。（只有启用了ksmbd模块的Linux内核容易受到攻击）如果存在且启用了ksmbd 模块，缓解措施为禁用 ksmbd 模块。

参考链接：https://www.oscs1024.com/hd/MPS-2022-69476