本周安全态势综述
OSCS 社区共收录安全漏洞 7 个,公开漏洞值得关注的是 Apache Superset<2.1.1 远程代码执行漏洞( CVE-2023-37941 )、Redis SORT_RO命令可绕过 ACL 配置( CVE-2023-41053 )、Argo CD 集群密钥泄漏风险( CVE-2023-40029 )、Cacti<1.2.25 reports_user.php SQL注入漏洞( CVE-2023-39358 )。 针对 NPM 仓库,共监测到 48 个不同版本的投毒组件,值得关注的是 kwaishop-radar 等投毒组件包窃取 Mac 系统敏感信息(MPS-rtu2-sexb)。
重要安全漏洞列表
1、 Apache Superset<2.1.1 远程代码执行漏洞(CVE-2023-37941)
Apache Superset 是一个开源的数据可视化工具,metadata 数据库用于存储 Superset 元数据(如配置信息)。Python 的 pickle 包用于序列化和反序列化 Python 对象。
Apache Superset 2.1.1之前版本中使用 Python 的 pickle 包存储配置数据,对metadata数据库(如:SQLite)具有写访问权限的攻击者可通过SQL Lab等将恶意的 pickle 负载存储到 metadata 数据库,当 Superset 的 Web 后端反序列化该对象时触发远程代码执行。
参考链接:https://www.oscs1024.com/hd/MPS-tu89-c6xs
2、 Redis SORT_RO命令可绕过 ACL 配置( CVE-2023-41053 )
Redis 是一个开源的键值型非关系数据库,SORT_RO命令用于对存储在 Redis 中的数据进行排序,ACL 配置指 Redis 的访问控制列表。
受影响版本中未正确识别由 SORT_RO 命令访问的键,攻击者可执行 SORT_RO 命令(如:sort_ro key)访问 ACL 配置中未授权访问的键。
参考链接:https://www.oscs1024.com/hd/MPS-2pvi-xqr4
3、 Argo CD 集群密钥泄漏风险(CVE-2023-40029)
Argo CD 是用于 Kubernetes 的声明性 GitOps 持续交付工具,Kubernetes 集群密钥存储在 kubectl.kubernetes.io/last-applied-configuration 注解中。
由于 https://github.com/argoproj/argo-cd/pull/7139 中引入了用户管理集群的标签和注解的功能,具有Argo CD clusters, get RBAC权限的攻击者可通过 API 查看集群注解获取集群密钥,进而窃取或修改集群资源或造成拒绝服务。
参考链接:https://www.oscs1024.com/hd/MPS-jby0-dvsh
4、 Cacti<1.2.25 reports_user.php SQL注入漏洞( CVE-2023-39358 )
Cacti 是一个开源的操作监控和故障管理框架。
Cacti 1.2.25之前版本中由于 reports_user.php 中的 ajax_get_branches 函数未对用户可控的 tree_id 进行过滤,具有 Cacti 登录权限的攻击者可向 /cacti/reports_user.php Api节点发送包含恶意 tree_id 参数的http请求获取数据库中任意数据。如果 Cacti 开启访客模式,攻击者无需身份认证即可利用此漏洞。
参考链接:https://www.oscs1024.com/hd/MPS-9wzi-k37j
5、 kwaishop-radar 等投毒组件包窃取 Mac 系统敏感信息(MPS-rtu2-sexb)
投毒者在 NPM 仓库发布了 kwaishop-radar 和 kwai-pymk 恶意组件包,当用户安装时会窃取Mac系统的系统架构、内存大小、主机名、用户名、网口信息等并发送到攻击者可控的服务器(81.70.191.194)。该系列投毒包的IOC地址为北京腾讯云服务器,包名容易与内部组件混淆,可能针对国内某互联网公司,建议开发者及时排查是否安装投毒组件包。
参考链接:https://www.oscs1024.com/hd/MPS-rtu2-sexb
*查看漏洞详情页,支持免费检测项目中使用了哪些有缺陷的第三方组件
投毒风险监测
OSCS 针对 NPM 仓库监测的恶意组件数量如下所示:
本周新发现 324 个不同版本的恶意组件:
-
71%的投毒组件为: 获取主机敏感信息(获取了主机的用户名、IP 等敏感信息发送给恶意服务器)
-
7%的投毒组件为: 获取用户敏感信息(如账户密码、钱包地址、浏览器Cookie等)
-
7%的投毒组件为: 安装木马后门文件
-
7%的投毒组件为: 执行恶意代码
其他资讯
数百万人受到 Google Play 上假冒 Telegram 应用中隐藏的间谍软件感染 https://thehackernews.com/2023/09/millions-infected-by-spyware-hidden-in.html
情报订阅
OSCS(开源软件供应链安全社区)通过最快、最全的方式,发布开源项目最新的安全风险动态,包括开源组件安全漏洞、事件等信息。同时提供漏洞、投毒情报的免费订阅服务,社区用户可通过配置飞书、钉钉、企业微信机器人,及时获得一手情报信息推送:
_https://www.oscs1024.com/cm_