欢迎关注

腾讯安全威胁情报中心

腾讯安全近期监测到Oracle官方发布了安全公告，修复了一个存在于WebLogic中的远程代码执行漏洞，漏洞编号为：CVE-2023-21839（CNNVD 编号：CNNVD-202301-1365）。该漏洞允许未经身份验证的攻击者通过T3/IIOP协议网络访问并破坏易受攻击的WebLogic 服务器，成功利用漏洞可能导致Oracle WebLogic服务器被接管或敏感信息泄露。

Oracle WebLogic Server是美国甲骨文（Oracle）公司的一款适用于云环境和传统环境的应用服务中间件，它提供了一个现代轻型开发平台，支持应用从开发到生产的整个生命周期管理。

据描述，由于Weblogic T3/IIOP协议支持远程对象通过bind方法绑定到服务端，并且可以通过lookup方法查看，当远程对象继承自OpaqueReference类，使用lookup方法查看远程对象时，服务端会调用远程对象的getReferent方法。weblogic.deployment.jms.ForeignOpaqueReference继承自OpaqueReference类，同时实现了getReferent方法，并且存在retVal = context.lookup(this.remoteJNDIName)实现，故可以通过rmi/ldap远程协议进行远程命令执行。

风险等级：

影响版本：

Oracle WebLogic Server  14.1.1.0.0

修复建议：

腾讯安全近期监测到互联网上某安全研究人员发布了关于禅道项目管理系统的风险公告，漏洞编号为：CNVD-2023-02709。成功利用此漏洞的攻击者，可远程在目标系统上执行任意命令。

禅道项目管理系统(ZenTaoPMS)是一款基于LGPL协议的开源项目管理软件，它集产品管理、项目管理、质量管理、文档管理于一体，同时还包含了事务管理、组织管理等诸多功能。

据描述，该漏洞是由于禅道项目管理系统权限认证存在缺陷导致，攻击者可利用该漏洞在未授权的情况下，通过权限绕过在服务器执行任意命令。

漏洞状态：

风险等级：

影响版本：

7.4 <= version <= 8.0.beta1（企业版)

官方已发布漏洞补丁及修复版本，请评估业务是否受影响后，酌情升级至安全版本。

【备注】：建议您在升级前做好数据备份工作，避免出现意外。

https://www.zentao.net/book/zentaoprohelp/41.html

腾讯安全近期监测到ZOHO ManageEngine官方发布了ManageEngine多个产品存在远程命令执行漏洞的风险公告，漏洞编号为：CVE-2022-47966（CNNVD编号：CNNVD-202301-1466）。成功利用此漏洞的攻击者，最终可远程在目标系统上执行任意命令。

ManageEngine是卓豪（ZOHO Corporation）旗下的 IT管理解决方案，企业可以借助ManageEngine工具管理网络基础设施、数据中心、业务系统、IT服务及安全等。

据描述，ManageEngine多个产品使用过时且易受攻击的第三方依赖——Apache Santuario，如果启用或曾经启用过 SAML SSO，那么攻击者可利用该漏洞在未经身份验证的情况下远程执行任意代码。

漏洞状态：

风险等级：

影响版本：

Vulnerability Manager Plus <= 10.1.2220.17

Remote Monitoring and Management (RMM) <= 10.1.40

修复建议：

官方已发布漏洞补丁及修复版本，请评估业务是否受影响后，酌情升级至安全版本

【备注】：建议您在升级前做好数据备份工作，避免出现意外。

https://www.manageengine.com/security/advisory/CVE/cve-2022-47966.html

概述：

腾讯安全近期监测到Vmware官方发布了关于vRealize Log Insight的风险公告，漏洞编号为：CVE-2022-31704（CNNVD编号：CNNVD-202301-2074）。成功利用此漏洞的攻击者，最终可远程在目标系统上执行任意命令。

VMware vRealize Log Insight是美国威睿（VMware）公司的一套集中式日志管理解决方案，该产品支持日志整理和日志分析等功能。

据描述，vRealize Log Insight 中存在访问控制问题，未经身份验证的远程攻击者可以将代码注入到受影响设备的敏感文件中，从而在目标系统上执行任意代码。

8.0.0 <= VMware vRealize Log Insight < 8.10.2

官方已发布漏洞补丁及修复版本，请评估业务是否受影响后，酌情升级至安全版本。

P.S. 据了解，该产品虽然较少暴露在公网，但是使用量较多，一旦攻击者获取到访问通路，就可以利用此漏洞，腾讯安全团队建议客户尽量升级。

【备注】：建议您在升级前做好数据备份工作，避免出现意外。

https://www.vmware.com/security/advisories/VMSA-2023-0001.html

概述：

腾讯安全近期监测到Adobe官方发布了关于Acrobat Reader的风险公告，漏洞编号为：CVE-2023-21608（CNNVD编号：CNNVD-202301-1479）。成功利用此漏洞的攻击者，最终可远程在目标系统上执行任意代码。

Adobe Acrobat Reader是美国Adobe公司的一款PDF查看器。该软件用于打印，签名和注释 PDF。

据描述，Adobe Acrobat Reader存在资源管理错误漏洞，该漏洞属于释放后重用漏洞(UAF)，通过诱使受害者打开特制的PDF文件，攻击者可以利用此漏洞在系统上执行任意代码。

漏洞状态：

风险等级：

影响版本：

修复建议：

官方已发布漏洞补丁及修复版本，请评估业务是否受影响后，酌情升级至安全版本

【备注】：建议您在升级前做好数据备份工作，避免出现意外

https://helpx.adobe.com/security/products/acrobat/apsb23-01.html

2023年1月，微软发布了2023年1月安全更新补丁，共发布了98个漏洞的补丁程序，其中包含11个严重漏洞，87个重要漏洞。本次发布涉及多个软件的安全更新，包括Microsoft Exchange Server、Microsoft Office、Windows等产品，上述漏洞中危害性较高的Windows ALPC权限提升漏洞，漏洞编号为：CVE-2023-21674（CNNVD编号：CNNVD-202301-771）。攻击者可利用该漏洞提升在目标主机中的权限。

高级本地过程调用（ALPC）是用于高速消息传递的进程间通信设施，它是一种仅适用于Windows操作系统组件的内部机制。

据描述，该漏洞是由高级本地过程调用 (ALPC) 组件中的代码缺陷引起的。通过执行特制程序，经过身份验证的攻击者可以利用此漏洞获取完整的系统权限。

Windows 10 Version 1809 for 32-bit Systems

官方已发布漏洞补丁及修复版本，请评估业务是否受影响后，酌情升级至安全版本

【备注】：建议您在升级前做好数据备份工作，避免出现意外

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-21674

概述：

微软发布的2023年1月安全更新补丁漏洞中，危害性较高的还有Microsoft WDAC OLE DB Provider for SQL Server 远程代码执行漏洞，漏洞编号为：CVE-2023-21681（CNNVD编号：CNNVD-202301-784）。攻击者可利用该漏洞在目标主机中远程执行代码。

Microsoft OLE DB Provider for SQL Server是美国微软（Microsoft）公司的一种 API，其功能为允许以统一的方式访问来自各种来源的数据。

据描述，Microsoft OLE DB Provider for SQL Server 代码存在漏洞，通过诱使受害者通过OLEDB连接到恶意的SQL Server，攻击者可以利用此漏洞在系统上执行任意代码。

漏洞状态：

风险等级：

影响版本：

Windows 10 Version 1809 for 32-bit Systems

修复建议：

官方已发布漏洞补丁及修复版本，请评估业务是否受影响后，酌情升级至安全版本

【备注】：建议您在升级前做好数据备份工作，避免出现意外

https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2023-21681

* 漏洞评分为腾讯安全研究人员根据漏洞情况作出，仅供参考，具体漏洞细节请以原厂商或是相关漏洞平台公示为准。

• 2022年12月必修安全漏洞清单

• 2022年11月必修安全漏洞清单

• 2022年10月必修安全漏洞清单

• 2022年09月必修安全漏洞清单

• 2022年08月必修安全漏洞清单

• 2022年07月必修安全漏洞清单
  

• 2022年06月必修安全漏洞清单
• 2022年05月必修安全漏洞清单
  
• 2022年04月必修安全漏洞清单
• 2022年03月必修安全漏洞清单
  
• 2022年02月必修安全漏洞清单
• 2022年01月必修安全漏洞清单
  
• 2021年12月必修安全漏洞清单
• 2021年11月必修安全漏洞清单