2023年1月需重点关注的安全漏洞梳理

新华三攻防实验室

2022/02/01

新华三攻防实验室持续跟踪各知名厂商产品、主流框架、流行组件等涉及的漏洞情况，整理出2023年1月份需重点关注的漏洞，供各企事业单位参考查阅。结合各重点漏洞影响版本以及对应官方修复补丁，请安全运维人员尽快对内部资产进行排查，并及时采取修复措施，避免遭受漏洞攻击而引起重大损失。

新华三攻防实验室依据漏洞热度、影响范围、严重程度、利用难度、漏洞细节、利用代码公开情况、在野利用情况等方面，整理出客户需要重点关注的漏洞如下：

一、Apache Kylin命令注入漏洞(CVE-2022-43396)

1.1 漏洞概述

Apache Kylin是一个开源的、分布式的分析型数据仓库，采用 Java 编写，充分融入 Hadoop 生态系统，提供Hadoop/Spark 之上的 SQL 查询接口及多维分析（OLAP）能力以支持超大规模数据，能实现亚秒级查询。2023年1月，新华三攻防实验室威胁预警团队在持续跟踪流行漏洞过程中监测到Apace官方发布安全更新公告，修复了一个存在于Apache Kylin中的命令注入漏洞（CVE-2022-43396）。

由于黑名单机制被绕过，恶意攻击者可以通过控制conf的kylin.engine.spark-cmd参数在目标服务器上执行任意代码。

1.2 影响版本

Apache Kylin < 4.3.0

1.3 漏洞利用情况

1.4 修复措施

目前官方已修复该漏洞，受影响用户可以升级更新到安全版本，官方链接：https://kylin.apache.org/download/

二、Control Web Panel远程命令执行漏洞（CVE-2022-44877）

2.1 漏洞概述

Control Web Panel（CWP）是一个人工智能驱动的免费和专业的Linux服务器控制面板，常用于管理专用服务器和VPS等，系统管理员通过使用CWP可以在一个地方简单进行很多系统管理任务。2023年1月，新华三攻防实验室威胁预警团队在持续跟踪流行漏洞过程中监测到Control Web Panel官方发布安全更新公告，修复了一个存在于Control Web Panel中的命令注入漏洞（CVE-2022-44877）。

由于/login/index.php组件中存在缺陷，对特殊元素转义处理不恰当，未经身份验证的恶意攻击者可以通过构造特殊的HTTP请求，成功利用此漏洞可在目标服务器上执行任意代码。

2.2 影响版本

Control Web Panel 7 < v0.9.8.1147

2.3 漏洞利用情况

2.4 修复措施

目前官方已修复该漏洞，受影响用户可以升级更新到安全版本，官方链接：

https://control-webpanel.com/installation-instructions

三、Windows 高级本地过程调用（ALPC）权限提升漏洞（CVE-2023-21674）

3.1 漏洞概述

2023年1月11日，新华三攻防实验室威胁预警团队监测发现Microsoft官方发布了1月安全更新，此次安全更新共发布了99个漏洞的补丁，主要修复了Microsoft Exchange Server、Microsoft SharePoint、Windows LDAP、Microsoft Office等产品中的漏洞。在此次更新的补丁中，有11 个漏洞被微软标记为严重漏洞，且部分漏洞已被发现在野利用。

Windows 高级本地过程调用（ALPC）存在权限提升漏洞，经过身份验证的恶意攻击者成功利用此漏洞提升至SYSTEM权限，而且此漏洞可用于浏览器沙箱逃逸。

3.2 影响版本

Windows Server 2022 (Server Core installation)

Windows Server 2022

Windows Server 2019 (Server Core installation)

Windows Server 2019

Windows Server 2016 (Server Core installation)

Windows Server 2016

Windows Server 2012 R2 (Server Core installation)

Windows Server 2012 R2

Windows RT 8.1

Windows 8.1 for x64-based systems

Windows 8.1 for 32-bit systems

Windows 11 version 21H2 for x64-based Systems

Windows 11 version 21H2 for ARM64-based Systems

Windows 11 Version 22H2 for x64-based Systems

Windows 11 Version 22H2 for ARM64-based Systems

Windows 10 for x64-based Systems

Windows 10 for 32-bit Systems

Windows 10 Version 22H2 for x64-based Systems

Windows 10 Version 22H2 for ARM64-based Systems

Windows 10 Version 22H2 for 32-bit Systems

Windows 10 Version 21H2 for x64-based Systems

Windows 10 Version 21H2 for ARM64-based Systems

Windows 10 Version 21H2 for 32-bit Systems

Windows 10 Version 20H2 for x64-based Systems

Windows 10 Version 20H2 for ARM64-based Systems

Windows 10 Version 20H2 for 32-bit Systems

Windows 10 Version 1809 for x64-based Systems

Windows 10 Version 1809 for ARM64-based Systems

Windows 10 Version 1809 for 32-bit Systems

Windows 10 Version 1607 for x64-based Systems

Windows 10 Version 1607 for 32-bit Systems

3.3 漏洞利用情况

3.4 修复措施

目前官方已修复该漏洞，受影响用户可以升级更新到安全版本，官方链接： https://msrc.microsoft.com/update-guide/releaseNote/2023-Jan

四、PowerShell 远程代码执行漏洞（CVE-2022-41076）

4.1 漏洞概述

PowerShell 是一种跨平台的任务自动化解决方案，由命令行shell、脚本语言和配置管理框架组成，PowerShell可在Windows、Linux和macOS上运行。2023年1月，新华三攻防实验室威胁预警团队监测到互联网上公开了PowerShell 远程代码执行漏洞(CVE-2022-41076)漏洞利用代码，并将此漏洞命名为“TabShell”。

由于Powershell提供的Powershell Remoting运行环境对用户输入验证不足，经过身份验证的远程攻击者可以通过在remote powershell会话中使用Tab Expansion cmdlet，再结合目录穿越载入任意dll，使得恶意攻击者可以执行原本不能执行的cmdlet，从而实现在目标服务器上执行任意代码。

4.2 影响版本

Windows 10 Version 21H1 for ARM64-based Systems

Windows 10 Version 21H1 for x64-based Systems

Windows Server 2019 (Server Core installation)

Windows Server 2019

Windows 10 Version 1809 for ARM64-based Systems

Windows 10 Version 1809 for x64-based Systems

Windows 10 Version 1809 for 32-bit Systems

Windows 10 Version 20H2 for ARM64-based Systems

Windows 10 Version 20H2 for 32-bit Systems

Windows 10 Version 20H2 for x64-based Systems

Windows Server 2022 Datacenter: Azure Edition

Windows Server 2022 (Server Core installation)

Windows Server 2022

Windows 10 Version 21H1 for 32-bit Systems

Windows Server 2012 R2 (Server Core installation)

Windows Server 2012 R2

Windows Server 2012 (Server Core installation)

Windows Server 2012

Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation)

Windows Server 2008 R2 for x64-based Systems Service Pack 1

Windows Server 2008 for x64-based Systems Service Pack 2 (Server Core installation)

Windows 10 Version 22H2 for x64-based Systems

Windows 11 Version 22H2 for x64-based Systems

Windows 11 Version 22H2 for ARM64-based Systems

Windows 10 Version 21H2 for x64-based Systems

Windows 10 Version 21H2 for ARM64-based Systems

Windows 10 Version 21H2 for 32-bit Systems

Windows 11 for ARM64-based Systems

Windows 11 for x64-based Systems

Windows Server 2008 for x64-based Systems Service Pack 2

Windows Server 2008 for 32-bit Systems Service Pack 2(Server Core installation)

Windows Server 2008 for 32-bit Systems Service Pack 2

Windows RT 8.1

Windows 8.1 for x64-based systems

Windows 8.1 for 32-bit systems

Windows 7 for x64-based Systems Service Pack 1

Windows 7 for 32-bit Systems Service Pack 1

Windows Server 2016 (Server Core installation)

Windows Server 2016

Windows 10 Version 1607 for x64-based Systems

Windows 10 Version 1607 for 32-bit Systems

Windows 10 for x64-based Systems

Windows 10 for 32-bit Systems

Windows 10 Version 22H2 for 32-bit Systems

Windows 10 Version 22H2 for ARM64-based Systems

PowerShell 7.2

PowerShell 7.3

4.3 漏洞利用情况

4.4 修复措施

目前官方已修复该漏洞，受影响用户可以升级更新到安全版本。官方下载链接：https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-41076

五、禅道项目管理系统远程命令执行漏洞

5.1 漏洞概述

禅道是一款国产开源的项目管理软件，是青岛易软天创网络科技有限公司旗下产品，其核心管理思想是基于敏捷方法scrum。平台内置了产品管理和项目管理，同时又根据国内研发现状补充了测试管理、计划管理、发布管理、文档管理、事务管理等功能，是一款功能完备的项目管理软件。近日，新华三攻防实验室威胁预警团队监测到互联网上爆发了禅道项目管理系统远程命令执行漏洞，针对该漏洞新华三攻防实验室威胁预警团队进行了实时跟踪和分析。

禅道项目管理系统存在伪造session认证绕过以及后台系统命令注入漏洞，未授权的恶意攻击者可利用该权限绕过漏洞进入目标服务后台，并通过创建gitlab仓库后更新成SVN仓库时实现任意命令执行。

5.2 影响版本

17.4 ≤ Zentao(禅道)开源版≤ 18.0.beta1

3.4 ≤ Zentao(禅道)旗舰版≤ 4.0.beta1

7.4 ≤ Zentao(禅道)企业版≤ 8.0.beta1

5.3 漏洞利用情况

5.4 修复措施

目前厂商官网已发布最新版本，建议受影响的用户及时更新升级到最新版本。官网链接：

开源版：https://www.zentao.net/dynamic/zentaopms18.0.beta3-81964.html

旗舰版：https://www.zentao.net/dynamic/max4.0.beta3-81966.html

企业版：https://www.zentao.net/dynamic/zentaopms.biz8.0.beta3-81965.html

六、Apache Shiro 身份认证绕过漏洞通告(CVE-2023-22602)

6.1 漏洞概述

Apache Shiro是一个强大且易用的Java安全框架,能够用于身份验证、授权、加密和会话管理。Shiro非常容易开发出好的应用，不仅可以用在JavaSE环境，也可以用在JavaEE环境。2023年1月，近日，新华三攻防实验室威胁预警团队监测Apace官方发布安全公告，修复了一个存在于Apache Shiro中的身份认证绕过漏洞（CVE-2023-22602）。

当在Spring Boot 2.6版本以上的环境中使用Apache Shiro，且Shiro和Spring Boot使用不同的路径匹配模式时，恶意攻击者通过构造特制的 HTTP 请求，成功利用此漏洞可实现身份验证绕过。

6.2 影响版本

Apache Shiro < 1.11.0

6.3 漏洞利用情况

6.4 修复措施

目前官方已修复该漏洞，受影响用户可以升级更新到安全版本。官方下载链接：https://shiro.apache.org/download.html

七、Windows Backup Service权限提升漏洞(CVE-2023-21752)

7.1 漏洞概述

Windows Backup Service 提供Windows 设备上的备份和还原功能。2023年1月，新华三攻防实验室威胁预警团队在持续跟踪流行漏洞过程中监测到互联网上爆发了Windows Backup Service权限提升漏洞（CVE-2023-21752）。

由于Windows 备份服务存在权限提升漏洞，经过身份认证的恶意攻击者成功利用此漏洞可将普通用户权限提升至 SYSTEM 权限。

7.2 影响版本

Windows 7 for 32-bit Systems Service Pack 1

Windows 10 for 32-bit Systems

Windows 10 Version 1607 for x64-based Systems

Windows 10 for x64-based Systems

Windows 7 for x64-based Systems Service Pack 1

Windows 10 Version 1809 for x64-based Systems

Windows 10 Version 1607 for 32-bit Systems

Windows 10 Version 1809 for ARM64-based Systems

Windows 10 Version 1809 for 32-bit Systems

Windows 10 Version 20H2 for ARM64-based Systems

Windows 10 Version 20H2 for 32-bit Systems

Windows 10 Version 20H2 for x64-based Systems

Windows 11 Version 22H2 for x64-based Systems

Windows 10 Version 21H2 for x64-based Systems

Windows 10 Version 22H2 for x64-based Systems

Windows 10 Version 21H2 for 32-bit Systems

Windows 11 version 21H2 for ARM64-based Systems

Windows 11 version 21H2 for x64-based Systems

Windows 10 Version 21H2 for ARM64-based Systems

Windows 10 Version 22H2 for 32-bit Systems

Windows 11 Version 22H2 for ARM64-based Systems

Windows 10 Version 22H2 for ARM64-based Systems

7.3 漏洞利用情况

7.4 修复措施

目前官方已修复该漏洞，受影响用户可以升级更新到安全版本。官方下载链接：

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-21752

八、Oracle WebLogic Service远程代码执行漏洞（CVE-2023-21839）

7.1 漏洞概述

2023年1月，新华三攻防实验室威胁预警团队在持续跟踪流行漏洞过程中监测发现Oracle官方发布了1月份关键补丁更新公告，包含327个修复补丁，涉及到Oracle Fusion Middleware、Oracle Communications Applications、Oracle E-Business Suite、Oracle VM VirtualBox等多个Oracle产品，其中包括5个高危的Weblogic Server漏洞(CVE-2023-21837、CVE-2023-21838、CVE-2023-21839、CVE-2023-21841、CVE-2023-21842)，且部分漏洞利用代码已公开。

Oracle Weblogic Service中存在远程代码执行漏洞，未经身份验证的恶意攻击者通过T3/IIOP协议网络访问服务器，成功利用此漏洞可获取目标服务器的控制权限或导致敏感信息泄露。

7.2 影响版本

Oracle WebLogic Server 12.2.1.3.0
Oracle WebLogic Server 12.2.1.4.0
Oracle WebLogic Server 14.1.1.0.0

7.3 漏洞利用情况

7.4 修复措施

目前官方已发布漏洞修复补丁，请受影响的用户及时升级补丁以修复该漏洞，参考链接：https://www.oracle.com/security-alerts/cpujan2023.html

九、pyLoad远程代码执行漏洞(CVE-2023-0297)

7.1 漏洞概述

pyLoad是纯Python编写的开源下载管理器，自带Web管理面板，易于扩展，不仅支持直接下载直链，而且也可以从网站中解析出文件/视频进行下载，能够运行在联网且支持Python的各类设备上。2023年1月，新华三攻防实验室威胁预警团队在持续跟踪流行漏洞过程中监测到互联网上爆发了PyLoad 远程代码执行漏洞（CVE-2023-0297），且漏洞利用代码已公开。

pyLoad部分版本中存在代码注入漏洞，在js2py.eval_js()中未进行严格校验和过滤处理，未经身份验证的攻击者可通过滥用js2py功能执行任意Python代码。

7.2 影响版本

pyLoad稳定版< =0.4.20

pyLoad开发版本< 0.5.0b3.dev31

7.3 漏洞利用情况

7.4 修复措施

目前该漏洞已经在pyLoad最新开发版本中修复，受影响用户可以下载官方发布在github的开发版本，官方链接：https://github.com/pyLoad/pyLoad

十、VMware vRealize Log Insight远程代码执行漏洞（CVE-2022-31704）

7.1 漏洞概述

VMware VRealize Log Insight 是一个日志收集和分析的虚拟设备，使管理员能够收集、查看、管理和分析系统日志数据，借助vRealize Log Insight可跨物理环境、虚拟环境和云环境管理海量数据、了解运维情况并加快故障排除。2023年1月，新华三攻防实验室威胁预警团队在持续跟踪流行漏洞过程中监测到VMware官方发布了安全通告，修复了存在于vRealize Log Insight中的多个漏洞，其中主要包括：VMware vRealize Log Insight 远程代码执行漏洞（CVE-2022-31704）、VMware vRealize Log Insight 目录穿越漏洞（CVE-2022-31706）、VMware vRealize Log Insight 反序列化漏洞（CVE-2022-31710）、VMware vRealize Log Insight 信息泄露漏洞（CVE-2022-31711）。。

VMware vRealize Log Insight中存在访问控制问题，未经身份验证的恶意攻击者可以将文件写入服务器，从而导致远程代码执行。

7.2 影响版本

VMware vRealize Log Insight 8.x < 8.10.2

VMware Cloud Foundation (VMware vRealize Log Insight) 4.x

VMware Cloud Foundation (VMware vRealize Log Insight) 3.x

7.3 漏洞利用情况

7.4 修复措施

目前官方已修复该漏洞，受影响用户可以升级更新到安全版本。官方下载链接：

VMware vRealize Log Insight 下载链接：https://docs.vmware.com/en/vRealize-Log-Insight/8.10.2/rn/vrealize-log-insight-8102-release-notes/index.html

VMware Cloud Foundation 下载链接：https://kb.vmware.com/s/article/90668

十一、Zoho ManageEngine OnPremise多款产品远程代码执行漏洞(CVE-2022-47966)

7.1 漏洞概述

ManageEngine是专业研发和销售IT管理软件、网管软件的品牌，逐步改变了企业级IT运维管理方法。ManageEngine全面管理IT业务，包括IT服务管理、服务器监控、网络监控、应用性能管理、网络管理配置、活动目录管理等自动化产品，管理日益复杂的企业IT基础设施监控、应用性能管理及IT服务管理交付。2023年1月，新华三攻防实验室威胁预警团队在持续跟踪流行漏洞过程中监测到ManageEngine官方发布安全更新公告，修复了一个存在于Zoho ManageEngine OnPremise 多款产品中的远程代码执行漏洞（CVE-2022-47966）。

Zoho ManageEngine OnPremise产品中引用了过时的第三方依赖库Apache Santuario，若启用或曾经启用过SAML单点登录，未经授权的远程攻击者成功利用此漏洞可在目标服务器上执行任意代码。

7.2 影响版本

Access Manager Plus* <= 4307

Active Directory 360** <= 4309

ADAudit Plus** <= 7080

ADManager Plus** <= 7161

ADSelfService Plus** <= 6210

Analytics Plus* <= 5140

Application Control Plus* <= 10.1.2220.17

Asset Explorer** <= 6982

Browser Security Plus* <= 11.1.2238.5

Device Control Plus* <= 10.1.2220.17

Endpoint Central* <= 10.1.2228.10

Endpoint Central MSP* <= 10.1.2228.10

Endpoint DLP* <= 10.1.2137.5

Key Manager Plus* <= 6400

OS Deployer* <= 1.1.2243.0

PAM 360* <= 5712

Password Manager Pro* <= 12123

Patch Manager Plus* <= 10.1.2220.17

Remote Access Plus* <= 10.1.2228.10

Remote Monitoring and Management (RMM)* <= 10.1.40

ServiceDesk Plus** <= 14003

ServiceDesk Plus MSP** <= 13000

11017 <= SupportCenter Plus** <= 11025

Vulnerability Manager Plus** <= 10.1.2220.17

注：* - 表示系统需配置基于SAML的SSO，且当前处于启用状态。

** - 表示系统至少配置过一次基于SAML的SSO，且不管当前是否启用此配置，均受此漏洞影响。

7.3 漏洞利用情况

7.4 修复措施

目前官方已修复该漏洞，受影响用户可以升级更新到安全版本。官方下载链接：

https://www.manageengine.com/security/advisory/CVE/cve-2022-47966.html

十二、Argo CD身份认证绕过漏洞(CVE-2023-22482)

7.1 漏洞概述

Argo CD是用于Kubernetes的声明性GitOps持续交付工具，遵循GitOps模式，模式使用Git仓库作为定义所需应用程序状态的真实来源。可以持续监控正在运行的应用程序并将当前的实时状态与所需的目标状态（例如 Git 仓库中的配置）进行比较，也可以在 Git 仓库更改时自动同步和部署应用程序。2023年1月，新华三攻防实验室威胁预警团队在持续跟踪流行漏洞过程中监测到Argo CD官方发布了安全通告，修复了存在于Argo CD中的多个漏洞，其中主要包括：Argo CD身份认证绕过漏洞(CVE-2023-22482)和Argo CD授权绕过漏洞(CVE-2023-22736)。

Argo CD授权机制存在问题，Argo CD在验证用户提供的令牌时，不会验证令牌中的 aud（audience）字段。当Argo CD配置的OIDC提供商也为其他aud提供服务时（例如，文件存储服务），Argo CD也会接受这种令牌。未经授权的恶意攻击者可以通过窃取这些有效令牌来绕过Argo CD身份认证。

7.2 影响版本

1.8.2 <= Argo CD <= 2.6.0-rc4

Argo CD v2.5.x <= v2.5.7

Argo CD v2.4.x <= v2.4.18

Argo CD v2.3.x <= v2.3.13

7.3 漏洞利用情况

7.4 修复措施

目前官方已修复该漏洞，受影响用户可以升级更新到安全版本。官方下载链接：https://github.com/argoproj/argo-cd/releases

十三、PHP Development Server 信息泄露漏洞

7.1 漏洞概述

PHP（全称：PHP：Hypertext Preprocessor，即“超文本预处理器”）是一种开源的计算机脚本语言，适用于Web开发并可嵌入HTML中。PHP Development Server是PHP内置用于在研发阶段快速启动并运行一个可以执行PHP脚本的Web服务器。2023年1月，新华三攻防实验室威胁预警团队在持续跟踪流行漏洞过程中监测到PHP官方发布安全公告，修复了一个存在于PHP Development Server中的信息泄露漏洞。

php版本中内置的Development Server解析php文件时,未经授权的恶意攻击者可以通过发送特殊的请求直接获取页面php源码。

7.2 影响版本

php < 7.4.21

7.3 漏洞利用情况

7.4 修复措施

目前官方已修复该漏洞，受影响用户可以升级更新到安全版本。官方下载链接：https://www.php.net/

十四、Fortinet FortiADC命令注入漏洞（CVE-2022-39947）

7.1 漏洞概述

Fortinet（飞塔）是一家全球知名的网络安全产品和安全解决方案提供商，其产品包括防火墙、防病毒软件、入侵防御系统和终端安全组件等。2023年1月，新华三攻防实验室威胁预警团队在持续跟踪流行漏洞过程中监测到Fortinet官方发布了安全公告，修复了一个FortiADC命令注入漏洞（CVE-2022-39947）。

由于FortiADC web界面存在对特殊元素的不当中和，经过身份验证的恶意攻击者可以通过构造特殊的HTTP请求，成功利用此漏洞可在目标服务器上执行任意代码。

7.2 影响版本

7.0.0 <= FortiADC <= 7.0.1

6.2.0 <= FortiADC <= 6.2.3

6.1.0 <= FortiADC <= 6.1.6

6.0.0 <= FortiADC <= 6.0.4

5.4.0 <= FortiADC <= 5.4.5

7.3 漏洞利用情况

7.4 修复措施

目前官方已修复该漏洞，受影响用户可以升级更新到安全版本。官方下载链接：https://www.fortinet.com/cn/support/product-downloads

新华三防御措施建议

新华三攻防实验室建议受影响用户尽快排查受影响资产情况，结合官方修复建议及时升级最新安全版本或安装漏洞修复补丁。此外，新华三攻防实验室会持续跟踪漏洞情况，每周定期发布IPS规则库，及时合入重点漏洞防御规则。新华三全系安全产品可通过升级最新IPS规则库，识别并阻断漏洞攻击行为。