Уязвимость удаленного выполнения кода в Open Management Infrastructure.

В Apache Log4j2 с 2.0-beta9 по 2.15.0 (исключая выпуски безопасности 2.12.2, 2.12.3 и 2.3.1) функции JNDI, используемые в конфигурации, сообщениях журнала и параметрах, не защищают от контролируемых злоумышленником LDAP и других связанных с JNDI конечных точек. Злоумышленник, который может контролировать сообщения журнала или параметры сообщений журнала, может выполнить произвольный код, загруженный с серверов LDAP, когда включена подстановка поиска сообщений. В log4j 2.15.0 это поведение отключено по умолчанию. В версии 2.16.0 (вместе с 2.12.2, 2.12.3 и 2.3.1) эта функция была полностью удалена. Обратите внимание, что эта уязвимость относится к log4j-core и не затрагивает log4net, log4cxx или другие проекты Apache Logging Services.

Устройства DrayTek Vigor2960 1.3.1_Beta, Vigor3900 1.4.4_Beta и Vigor300B 1.3.3_Beta, 1.4.2.1_Beta и 1.4.4_Beta позволяют удаленно выполнять код от имени root (без аутентификации) через метасимволы оболочки в URI cgi-bin/mainfunction.cgi. Эта проблема была исправлена в Vigor3900/2960/300B версии 1.5.1.

Уязвимость в продукте Oracle WebLogic Server из Oracle Fusion Middleware (компонент: Core). Поддерживаемые версии, подверженные уязвимости: 10.3.6.0.0, 12.1.3.0.0, 12.2.1.3.0 и 12.2.1.4.0. Легко эксплуатируемая уязвимость позволяет не прошедшему проверку подлинности злоумышленнику, имеющему доступ к сети через IIOP, T3, скомпрометировать Oracle WebLogic Server. Успешные атаки этой уязвимости могут привести к захвату Oracle WebLogic Server. Базовая оценка CVSS 3.0 — 9.8 (воздействие на конфиденциальность, целостность и доступность). Вектор CVSS: (CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H).

При работе Apache Tomcat версий 9.0.0.M1 - 9.0.0, 8.5.0 - 8.5.22, 8.0.0.RC1 - 8.0.46 и 7.0.0 - 7.0.81 с включенными HTTP PUT (например, путем установки для параметра readonly initialisation сервлета Default значения false), можно было загрузить JSP-файл на сервер с помощью специально созданного запроса. Затем этот JSP можно было запросить, и любой код, содержащийся в нем, выполнялся бы сервером.

Уязвимость повышения привилегий Microsoft SharePoint Server.

Уязвимость модификации внешних переменных PHP в J-Web Juniper Networks Junos OS на EX Series и SRX Series позволяет удаленному злоумышленнику, не обладая аутентификацией, выполнять код удаленно. С помощью сформированного запроса, который устанавливает переменную PHPRC, злоумышленник может изменить окружение выполнения PHP, что позволяет внедрять и выполнять код. Эта проблема затрагивает Juniper Networks Junos OS на EX Series и SRX Series: * Все версии до 20.4R3-S9; * версии 21.1 21.1R1 и более поздние; * версии 21.2 до 21.2R3-S7; * версии 21.3 до 21.3R3-S5; * версии 21.4 до 21.4R3-S5; * версии 22.1 до 22.1R3-S4; * версии 22.2 до 22.2R3-S2; * версии 22.3 до 22.3R2-S2, 22.3R3-S1; * версии 22.4 до 22.4R2-S1, 22.4R3; * версии 23.2 до 23.2R1-S1, 23.2R2.

При определенных условиях vmdir, поставляемый с VMware vCenter Server, как часть встроенного или внешнего Platform Services Controller (PSC), некорректно реализует контроль доступа.

В Jira Server и Data Center была обнаружена уязвимость инъекции шаблонов на стороне сервера в действиях ContactAdministrators и SendBulkMail. Нападающий может удаленно выполнить код на системах, запускающих уязвимую версию Jira Server или Data Center. Все версии Jira Server и Data Center с 4.4.0 до 7.6.14, с 7.7.0 до 7.13.5, с 8.0.0 до 8.0.3, с 8.1.0 до 8.1.2 и с 8.2.0 до 8.2.3 подвержены этой уязвимости.

Уязвимость инъекции шаблона в старых версиях Confluence Data Center и Server позволяет неаутентифицированному злоумышленнику добиться RCE на затронутом экземпляре. Клиенты, использующие затронутую версию, должны немедленно принять меры. Последние поддерживаемые версии Confluence Data Center и Server не подвержены этой уязвимости, поскольку она была устранена во время регулярных обновлений версии. Тем не менее, Atlassian рекомендует клиентам заботиться об установке последней версии, чтобы защитить свои экземпляры от некритических уязвимостей, описанных в январском бюллетене безопасности Atlassian.

Metabase - это платформа аналитики данных с открытым исходным кодом. В затронутых версиях была обнаружена проблема безопасности с поддержкой пользовательской карты GeoJSON (`admin-\u003esettings-\u003emaps-\u003ecustom maps-\u003eadd a map`) и потенциальным включением локальных файлов (включая переменные среды). URL-адреса не проверялись перед загрузкой. Эта проблема исправлена в новом сервисном выпуске (0.40.5 и 1.40.5) и в любом последующем выпуске после этого. Если вы не можете обновиться немедленно, вы можете смягчить эту проблему, включив правила в свой обратный прокси или балансировщик нагрузки или WAF, чтобы обеспечить фильтр проверки перед приложением.

mongo-express до версии 0.54.0 уязвим к удаленному выполнению кода через конечные точки, которые используют метод `toBSON`. Неправильное использование зависимости `vm` для выполнения команд `exec` в небезопасной среде.

Grafana — это платформа визуализации данных с открытым исходным кодом. В затронутых версиях неаутентифицированные и аутентифицированные пользователи могут просматривать снимок с самым низким ключом базы данных, обращаясь к буквальным путям: /dashboard/snapshot/:key или /api/snapshots/:key. Если параметр конфигурации снимка "public_mode" установлен в значение true (в отличие от значения по умолчанию false), неаутентифицированные пользователи могут удалить снимок с самым низким ключом базы данных, обратившись к буквальному пути: /api/snapshots-delete/:deleteKey. Независимо от настройки "public_mode" снимка, аутентифицированные пользователи могут удалить снимок с самым низким ключом базы данных, обратившись к буквальным путям: /api/snapshots/:key или /api/snapshots-delete/:deleteKey. Комбинация удаления и просмотра обеспечивает полный проход по всем данным снимка, что приводит к полной потере данных снимка. Эта проблема была решена в версиях 8.1.6 и 7.5.11. Если по какой-либо причине вы не можете обновиться, вы можете использовать обратный прокси-сервер или аналогичный, чтобы заблокировать доступ к буквальным путям: /api/snapshots/:key, /api/snapshots-delete/:deleteKey, /dashboard/snapshot/:key и /api/snapshots/:key. У них нет нормальной функции, и их можно отключить без побочных эффектов.

ServiceNow устранила уязвимость валидации ввода, которая была выявлена в выпусках платформы Now для Ванкувера и Вашингтона. Эта уязвимость может позволить неаутентифицированному пользователю выполнить код удаленно в контексте платформы Now. ServiceNow применила обновление к хостингу, и ServiceNow выпустила обновление для наших партнеров и клиентов, использующих собственный хостинг. Ниже перечислены патчи и горячие исправления, которые устраняют уязвимость. Если вы этого еще не сделали, мы рекомендуем применить соответствующие исправления безопасности для вашей инстанции как можно скорее.

Раскрытие конфиденциальной информации в NetScaler ADC и NetScaler Gateway при настройке как шлюз (VPN виртуальный сервер, ICA Proxy, CVPN, RDP Proxy) или AAA виртуальный сервер.

Неправильная обработка сообщений об ошибках в прошивке серии Zyxel ZyWALL/USG версий от 4.60 до 4.73, прошивке серии VPN версий от 4.60 до 5.35, прошивке серии USG FLEX версий от 4.60 до 5.35 и прошивке серии ATP версий от 4.60 до 5.35, что может позволить не прошедшему проверку подлинности злоумышленнику удаленно выполнять некоторые команды ОС, отправляя специально созданные пакеты на уязвимое устройство.

SolarWinds Orion API уязвим для обхода аутентификации, что может позволить удаленному злоумышленнику выполнять команды API. Эта уязвимость может позволить удаленному злоумышленнику обойти аутентификацию и выполнять команды API, что может привести к компрометации экземпляра SolarWinds. Уязвимы платформы SolarWinds Orion версий 2019.4 HF 5, 2020.2 без установленного исправления и 2020.2 HF 1.

IBM Aspera Faspex 4.4.2 уровень патча 1 и ранее могут позволить удаленному злоумышленнику выполнить произвольный код на системе, вызванный ошибкой десериализации YAML. Отправив специально подготовленный устаревший вызов API, злоумышленник может использовать эту уязвимость для выполнения произвольного кода на системе. Устаревший вызов API был удален в Faspex 4.4.2 PL2. IBM X-Force ID: 243512.

В Progress Telerik Report Server, версия 2024 Q1 (10.0.24.305) или более ранняя, на IIS неаутентифицированный злоумышленник может получить доступ к ограниченной функциональности Telerik Report Server через уязвимость обхода аутентификации.

Уязвимость RCE-удаленного выполнения команд в Apache HugeGraph-Server. Эта проблема затрагивает Apache HugeGraph-Server: от 1.0.0 до 1.3.0 в Java8 & Java11. Пользователям рекомендуется обновиться до версии 1.3.0 с Java11 и включить систему аутентификации, что решает проблему.

Не прошедшее проверку подлинности удаленное выполнение кода происходит в таких продуктах D-Link, как DIR-655C, DIR-866L, DIR-652 и DHP-1565. Проблема возникает, когда злоумышленник отправляет произвольный ввод в общий шлюзовый интерфейс устройства "PingTest", что может привести к общей инъекции. Злоумышленник, успешно инициировавший инъекцию команды, может добиться полного компрометации системы. Позже было независимо обнаружено, что это также затрагивает: DIR-855L, DAP-1533, DIR-862L, DIR-615, DIR-835 и DIR-825.