每周升级通告-2022-07-08

宣布时间 2022-07-08

新增事务


事务名称：

HTTP_清静误差_Confluence_恣意文件读取误差[CVE-2019-3396][CNNVD-201903-909]

清静类型：

清静误差

事务形貌:

Confluence是款企业知识库软件。其中ConfluenceServer和DataCenter产品中使用的小工具毗连器widgetconnecter组件（版本<=3.1.3）中保存恣意文件读取误差

更新时间：

20220708


事务名称：

HTTP_清静误差_UCM6202_1.0.18.13远程下令注入误差[CVE-2020-5722][CNNVD-202003-1337]

清静类型：

清静误差

事务形貌:

GrandstreamUCM6200系列的HTTP接口容易受到全心设计的HTTP请求未经身份验证的远程SQL注入的攻击。攻击者可以使用此误差以root身份在1.0.19.20之前的版本中执行shell下令，或在1.0.20.17之前的版本中的密码恢复电子邮件中注入HTML。

更新时间：

20220708


事务名称：

HTTP_清静误差_Netgear_R7000_Router远程下令执行误差

清静类型：

清静误差

事务形貌:

NetgearR7000,固件版本1.0.7.2_1.1.93以及更早期版本，R6400固件版本1.0.1.6_1.0.4以及更早期版本,包括一个包括恣意下令注入误差.攻击者可能诱使用户会见巧全心思构建的web站点，从而以根用户权限在受影响的路由器上执行恣意下令。

更新时间：

20220708


事务名称：

TCP_可疑行为_shadow内容文件回显

清静类型：

可疑行为

事务形貌:

发明有etc/shadow文件的回显页面

更新时间：

20220708


事务名称：

HTTP_木马_MuuyDownLoader(蔓灵花)_毗连

清静类型：

木马后门

事务形貌:

检测到木马试图毗连远程服务器。源IP所在的主机可能被植入了MuuyDownLoader。MuuyDownLoader是APT组织蔓灵花所使用的一个下载者，运行后，可以下载其它恶意样本，如后门等。

更新时间：

20220708


事务名称：

TCP_木马_BeamMiner_实验毗连矿池(BEAM)

清静类型：

蠕虫病毒

事务形貌:

检测到挖矿木马试图毗连远程矿池服务器。源IP所在的主机可能被植入了BeamMiner挖矿木马。BeamMiner是一款挖矿恶意程序，挖矿程序会占用CPU资源，可能导致受害主机变慢。Beam是基于MimbleWimble协议开发的加密钱币，具有强隐私性、替换性和扩展性。Beam所有生意都默认是私密的。新节点加入网络无需同步整个生意历史，可以请求同步只包括系统状态的压缩历史纪录和区块头，从而实现快速同步。

更新时间：

20220708


事务名称：

TCP_木马_BeamMiner_毗连矿池乐成(BEAM)

清静类型：

蠕虫病毒

事务形貌:

检测到挖矿木马毗连远程矿池服务器乐成的行为。源IP所在的主机可能被植入了BeamMiner挖矿木马。BeamMiner是一款挖矿恶意程序，挖矿程序会占用CPU资源，可能导致受害主机变慢。Beam是基于MimbleWimble协议开发的加密钱币，具有强隐私性、替换性和扩展性。Beam所有生意都默认是私密的。新节点加入网络无需同步整个生意历史，可以请求同步只包括系统状态的压缩历史纪录和区块头，从而实现快速同步。

更新时间：

20220708


事务名称：

TCP_木马_BeamMiner_获取挖矿使命(BEAM)

清静类型：

蠕虫病毒

事务形貌:

检测到从矿池向矿机下发挖矿使命的行为。源IP所在的主机可能被植入了BeamMiner挖矿木马。BeamMiner是一款挖矿恶意程序，挖矿程序会占用CPU资源，可能导致受害主机变慢。Beam是基于MimbleWimble协议开发的加密钱币，具有强隐私性、替换性和扩展性。Beam所有生意都默认是私密的。新节点加入网络无需同步整个生意历史，可以请求同步只包括系统状态的压缩历史纪录和区块头，从而实现快速同步。

更新时间：

20220708


事务名称：

TCP_木马_CPUMiner_挖矿控制下令通讯_矿机设置共享目的(BTC/LTC)

清静类型：

蠕虫病毒

事务形貌:

检测到矿机向矿池批注对共享目的的偏好的行为。源IP所在的主机可能被植入了CPUMiner挖矿木马。CPUMiner是一款挖矿恶意程序，挖矿程序会占用CPU资源，可能导致受害主机变慢。

更新时间：

20220708


事务名称：

HTTP_提权攻击_Spring_Boot_H2database_console_远程代码执行

清静类型：

清静误差

事务形貌:

检测到源ip正在使用h2console的默认路由设置为外部恶意jndi服务器地点。H2Database是一个开源的嵌入式数据库引擎，接纳java语言编写，不受平台的限制，同时H2Database提供了一个十分利便的web控制台用于操作和治理数据库内容。H2Database还提供兼容模式，可以兼容一些主流的数据库，因此接纳H2Database作为开发期的数据库很是利便。

更新时间：

20220708


事务名称：

HTTP_清静误差_CMS_Joomla代码执行[CVE-2020-10238]

清静类型：

清静误差

事务形貌:

Joomla!是美国OpenSourceMatters团队的一套使用PHP和MySQL开发的开源、跨平台的内容治理系统(CMS)。Joomla是一套内容治理系统，是使用PHP语言加上MYSQL数据库所开发的软件系统。由于joomla权限分派不对理导致治理员权限账号可对相关php页面举行编辑，插入相关恶意代码导致下令执行。

更新时间：

20220708


事务名称：

HTTP_清静误差_Apache_HTTP_Server_路径穿越误差[CVE-2021-42013][CNNVD-202110-413]

清静类型：

清静误差

事务形貌:

检测到源IP主机正在实验对目的IP主机通过ApacheHTTPServer举行目录穿越误差攻击实验的行为。Apache_HTTP_Server是Apache基础开放的盛行的HTTP服务器。

更新时间：

20220708


事务名称：

HTTP_提权攻击_Gogs_session_未授权会见[CVE-2018-18925][CNNVD-201811-049]

清静类型：

清静误差

事务形貌:

gogs是一款极易搭建的自助Git服务平台，具有易装置、跨平台、轻量级等特点，使用者众多。其0.11.66及以前版本中，（go-macaron/session库）没有对sessionid举行校验，攻击者使用恶意sessionid即可读取恣意文件，通过控制文件内容来控制session内容，进而登录恣意账户。攻击者可上岸恣意账号包括治理员账号，同时可使用githooks执行恣意下令，同时保存严重的越权和下令执行问题。

更新时间：

20220708


事务名称：

HTTP_提权攻击_SaltStack_未授权会见[CVE-2021-25281][CNNVD-202102-1696]

清静类型：

清静误差

事务形貌:

SaltAPIwheel_async未授权会见误差中，攻击者可结构恶意请求，通过wheel_async挪用master的wheel插件。

更新时间：

20220708


事务名称：

HTTP_文件操作攻击_可疑敏感文件下载

清静类型：

清静误差

事务形貌:

发明敏感文件下载行为，如下载备份文件，程序源码，SQL文件，设置文件等这类行为。

更新时间：

20220708


事务名称：

HTTP_文件操作攻击_可疑可执行文件上传

清静类型：

清静误差

事务形貌:

检测到源ip主机保存上传可疑webshell到目的ip主机的行为

更新时间：

20220708


事务名称：

TCP_可疑行为_Java_Shellcode外地历程注入

清静类型：

清静误差

事务形貌:

检测到源IP主机正在使用WindowsVirtualMachine类中的enqueue要领对目的主机举行Java外地历程注入攻击的行为。攻击者可以发送全心结构的payload，使用恶意类举行历程注入执行恣意代码或下令。远程执行恣意代码，获取系统控制权。

更新时间：

20220708


事务名称：

HTTP_清静误差_CouchDB_笔直越权误差[CVE-2017-12635][CNNVD-201711-487]

清静类型：

清静误差

事务形貌:

ApacheCouchDB是一个开源数据库，专注于易用性和成为”完全拥抱web的数据库”。它是一个使用JSON作为存储名堂，JavaScript作为盘问语言，MapReduce和HTTP作为API的NoSQL数据库。导致误差的缘故原由是Erlang和JavaScript，对JSON剖析方法的差别，关于重复的键Erlang会存储两个值，而JavaScript只存储第二个值。

更新时间：

20220708


事务名称：

HTTP_清静误差_Discuz!ML_V3.X_下令执行误差

清静类型：

清静误差

事务形貌:

Discuz!ML系统对cookie中吸收的language参数内容未过滤，导致字符串拼接，从而执行php代码。

更新时间：

20220708


事务名称：

HTTP_可疑行为_OpenSSL_反弹shell下令注入

清静类型：

清静误差

事务形貌:

检测到源IP主机正在向目的主机举行OpenSSL反弹shell下令注入攻击。反弹毗连，是指攻击者指定服务端，受害者主机自动毗连攻击者的服务端程序。反弹shell通常用于被控端因防火墙受限、权限缺乏、端口被占用等情形。攻击者攻击乐成后可以远程执行系统下令。

更新时间：

20220708


事务名称：

HTTP_代码执行_CMS-Phpcms:V9.5.8_后台getshell

清静类型：

清静误差

事务形貌:

检测到源IP主机正在使用CMS-Phpcms:V9.5.8后台恣意代码执行误差对目的主机举行攻击的行为，该误差使用content.php文件结构恶意payload，从而造成代码执行。

更新时间：

20220708


事务名称：

HTTP_木马后门_Covenant_毗连C2服务器_上传信息或下令交互

清静类型：

木马后门

事务形貌:

Covenant是一个.NET开发的C2(commandandcontrol)框架，使用.NETCore的开发情形，不但支持Linux，MacOS和Windows，还支持docker容器。Covenant支持动态编译，能够将输入的C#代码上传至C2Server，获得编译后的文件并使用Assembly.Load()从内存举行加载。该事务批注，Covenant的天生物Grunts木马后门正在毗连C2服务器举行上传信息或下令交互。

更新时间：

20220708


事务名称：

HTTP_清静误差_Alibaba-Canal-config云密钥信息泄露误差

清静类型：

CGI攻击

事务形貌:

canal是阿里巴巴旗下的一款开源项目,因权限问题，攻击者可通过特定的地点会见获取一些较为敏感的数据。

更新时间：

20220708


事务名称：

HTTP_清静误差_laravel_pop3使用链攻击[CVE-2022-31279][CNNVD-202206-671]

清静类型：

清静误差

事务形貌:

Laravel9.1.8在处置惩罚攻击者控制的反序列化数据时，允许通过Illuminate\Broadcasting\PendingBroadcast.php中的__destruct和Faker\Generator.php中的__call中的未序列化弹出链执行远程代码执行(RCE)。

更新时间：

20220708


事务名称：

HTTP_清静误差_Apache-Airflow_远程代码执行[CVE-2022-24288][CNNVD-202202-1940]

清静类型：

清静误差

事务形貌:

在ApacheAirflow2.2.4之前的版本中，一些示例DAG没有准确整理用户提供的参数，使其容易受到来自WebUI的OS下令注入的影响。

更新时间：

20220708


事务名称：

HTTP_提权攻击_Apache_Shiro_v1.7.1以下_非授权会见[CVE-2020-17523][CNNVD-202102-238]

清静类型：

清静误差

事务形貌:

ApacheShiro是一个强盛且易用的Java清静框架，它可以用来执行身份验证、授权、密码和会话治理。现在常见集成于种种应用中举行身份验证，授权等。关于ApacheShiro1.7.1之前的版本，当将ApacheShiro与Spring控制器一起使用时，攻击者特制请求可能会导致身份验证绕过。

更新时间：

20220708


事务名称：

HTTP_提权攻击_SangforEDR不高于3.2.19_非授权会见

清静类型：

清静误差

事务形貌:

检测到源IP主机正在试图通过SangforEDR的非授权会见误差，输入user=admin即可获取用户权限。Sangfor终端检测响应平台（EDR）是深信服公司提供的一套终端清静解决计划。

更新时间：

20220708


事务名称：

HTTP_清静误差_CLTPHP-v5.8_后台恣意文件删除

清静类型：

清静误差

事务形貌:

CLTPHP是基于ThinkPHP5开发，后台接纳Layui框架的内容治理系统。CLTPHP5.8及之前版本保存后台恣意文件删除误差，通过结构恶意payload攻击者可删除系统中的恣意文件。

更新时间：

20220708


事务名称：

TCP_提权攻击_AspectJWeaver_Java反序列化使用链攻击

清静类型：

清静误差

事务形貌:

检测到源IP主机正在使用aspectjweaver的Java反序列化使用链对目的主机举行攻击的行为。若会见的应用保存误差JAVA反序列化误差且使用了保存aspectjweaver:1.9.2,commons-collections:3.2.2的依赖，攻击者可以发送全心结构的Java序列化工具，远程执行恣意代码或下令。远程执行恣意代码，获取系统控制权。

更新时间：

20220708


事务名称：

HTTP_文件操作攻击_Gila-CMS-2.0.0_文件写入

清静类型：

清静误差

事务形貌:

GilaCMS2.0.0版本及以下版本会将User-Agent中的内容写入到GSESSIONIDcookie中指定的文件中，因此可以使用这点将webshell写入到php文件中，造成恣意代码执行。

更新时间：

20220708


事务名称：

HTTP_提权攻击_上海格尔清静认证网关治理系统_service.php_下令执行

清静类型：

清静误差

事务形貌:

上海格尔清静认证网关治理系统保存一个下令执行误差，该误差源于service.php中对传入的service_path参数内容过滤不严谨，攻击者可以通过结构恶意请求，远程执行恣意下令。

更新时间：

20220708


事务名称：

HTTP_提权攻击_上海格尔清静认证网关治理系统_PrivManager.php_下令执行

清静类型：

清静误差

事务形貌:

上海格尔清静认证网关治理系统保存一个下令执行误差，该误差源于PrivManager.php中对传入的mode_type参数内容过滤不严谨，攻击者可以通过结构恶意请求，远程执行恣意下令。

更新时间：

20220708


事务名称：

HTTP_提权攻击_上海格尔清静认证网关治理系统_SetVer.php_下令执行

清静类型：

清静误差

事务形貌:

上海格尔清静认证网关治理系统保存一个下令执行误差，该误差源于SetVer.php中对传入的version_type参数内容过滤不严谨，攻击者可以通过结构恶意请求，远程执行恣意下令。

更新时间：

20220708


事务名称：

TCP_提权攻击_PHP-8.1.0-dev_远程代码执行

清静类型：

清静误差

事务形貌:

PHP8.1.0-dev于2021年3月28日宣布的版本中保存后门，通过User-Agentt头可以执行恣意代码或下令

更新时间：

20220708


事务名称：

TCP_提权攻击_Spring3_Java反序列化使用链攻击

清静类型：

清静误差

事务形貌:

检测到源IP主机正在使用Spring3的Java反序列化使用链对目的主机举行攻击的行为。若会见的应用保存误差JAVA反序列化误差且使用了spring-tx:5.2.3.RELEASE,spring-context:5.2.3.RELEASE,javax.transaction-api:1.2，攻击者可以发送全心结构的Java序列化工具，远程执行恣意代码或下令，获取系统控制权。

更新时间：

20220708


事务名称：

TCP_提权攻击_JRMPListener_Java反序列化使用链攻击

清静类型：

清静误差

事务形貌:

检测到源IP主机正在使用JRMPListener的Java反序列化使用链对目的主机举行攻击的行为。攻击者可以发送全心结构的Java序列化工具，远程执行恣意代码或下令。远程执行恣意代码，获取系统控制权。

更新时间：

20220708


事务名称：

HTTP_提权攻击_奇安信终端清静治理系统天擎越权会见误差

清静类型：

清静误差

事务形貌:

检测到攻击者正在使用天擎前台直接会见目录可获取数据库相关信息

更新时间：

20220708


事务名称：

HTTP_清静误差_Netgear-交流机_下令注入[CVE-2021-33514][CNNVD-202105-1401]

清静类型：

清静误差

事务形貌:

装备在吸收到setup.cgi?token=';$HTTP_USER_AGENT;'一类数据事，由于未举行清静过滤，保存被攻击者通过居心结构的恶意数据攻击，导致在装备上执行恣意下令。

更新时间：

20220708


修改事务

 

事务名称：

HTTP_敏感信息泄露_常见敏感文件会见

清静类型：

CGI攻击

事务形貌:

检测到源IP主机正在探测目的ip主机中可能袒露在外的敏感文件。

更新时间：

20220708


事务名称：

HTTP_Oracle_WebLogic_反序列化误差[CVE-2019-2725/CVE-2019-2729]

清静类型：

清静误差

事务形貌:

此误差是由于应用在处置惩罚反序列化输入信息时保存缺陷，攻击者可以通过发送全心结构的恶意HTTP请求，用于获得目的服务器的权限，并在未授权的情形下执行远程下令，最终获取服务器的权限。CVE-2019-2729是CVE-2019-2725的绕过。

更新时间：

20220708


事务名称：

HTTP_代码执行_Apache_DolphinScheduler_远程代码执行误差[CVE-2020-11974][CNNVD-202012-1358]

清静类型：

清静误差

事务形貌:

检测到源IP主机正在使用ApacheDolphinScheduler的JDBC客户端举行反序列化操作进而导致远程代执行。ApacheDolphinScheduler(Incubator,原EasyScheduler)是一个漫衍式数据事情流使命调理系统，主要解决数据研发ETL错综重大的依赖关系，而不可直观监控使命康健状态等问题。

更新时间：

20220708


事务名称：

HTTP_清静误差_Horde_Groupware_Webmail_Edition_反序列化远程代码执行误差[ZDI-20-1051]

清静类型：

清静误差

事务形貌:

HordeGroupwareWebmail是美国Horde公司的一套基于浏览器的企业级通讯套件。HordeGroupwareWebmail中保存代码注入误差。允许攻击者在IMP_Prefs_Sort类的结构函数中对不受信托的数据误差举行反序列化。低特权的经由身份验证的攻击者可以使用这一点来实现远程代码执行

更新时间：

20220708


事务名称：

HTTP_清静误差_MidaSolutionseFramework_ajaxreq.php下令注入误差[CVE-2020-15920][CNNVD-202007-1517]

清静类型：

清静误差

事务形貌:

MidaSolutions是一家专注于统一通讯(UC)的高手艺意大利公司,Mida团队已成为统一协作和专业相同的全球向导者,险些所有行业的服务提供商，系统集成商。其相助同伴有微软,思科,惠普,中国电信等40个天下着名企业。MidaeFramework是MidaSolutions公司旗下视频和语音应用程序的完整服务套件，与险些所有主要的UC平台兼容。该套件包括话务员控制台，纪录器，传真服务器，计费，行列治理器，自动话务员，移动应用程序，电话服务。MidaSolutionseFramework2.9.0及之前版本中保存操作系统下令注入误差。它使未经身份认证的攻击者能够获得具有治理（root）特权的远程代码执行（RCE）。注入点位于未果真的PHP页面上，该页面可以使用GET或POST恶意负载作为目的。

更新时间：

20220708

 

事务名称：

HTTP_代码执行_SaltStack_远程代码执行误差[CVE-2020-16846/CVE-2020-25592][CNNVD-202011-302/CNNVD-202011-308]

清静类型：

清静误差

事务形貌:

检测到源IP正在使用SaltStack的salt-api接口执行恣意下令；SaltStack是一个漫衍式运维系统，在互联网场景中被普遍应用，有以下两个主要功效：设置治理系统，能够将远程节点维护在一个预界说的状态（例如，确保装置特定的软件包并运行特定的服务）漫衍式远程执行系统，用于在远程节点上单独或通过恣意选择标准来执行下令和盘问数据。该事务由两个组合的CVE误差的使用爆发，通过CVE-2020-25592结构恣意“eauth”/“token”值，绕过身份认证；通过CVE-2020-16846执行shell。

更新时间：

20220708

 

事务名称：

HTTP_清静误差_SQL_Server_远程代码执行误差[CVE-2020-0618][CNNVD-202002-496]

清静类型：

清静误差

事务形貌:

SQLServer是Microsoft开发的一个关系数据库治理系统(RDBMS)，是现在天下上普遍使用的数据库之一。该误差源于获得低权限的攻击者向受影响版本的SQLServer的ReportingServices实例发送全心结构的请求，可使用此误差在报表服务器服务帐户的上下文中执行恣意代码。

更新时间：

20220708

 

事务名称：

HTTP_可疑行为_PHP反序列化工签字堂数据发明

清静类型：

可疑行为

事务形貌:

若程序未对用户输入的序列化字符串举行检测，则可能导致攻击者可以控制反序列化历程，通过在参数中注入一些代码，从而抵达代码执行，SQL注入，目录遍历等不可控效果。

更新时间：

20220708