每周升级通告-2023-04-25

宣布时间 2023-04-25

新增事务


事务名称：

HTTP_反序列化_Spring_Boot_Actuator_Snakeyaml_远程代码执行

清静类型：

清静误差

事务形貌：

检测到源ip正在使用Actuator的/env接口设置属性将spring.cloud.bootstrap.location设置为恶意yaml文件URL地点。。。 。。 。
SpringBootActuator是一款可以资助你监控系统数据的框架,其可以监控许多许多的系统数据,它有对应用系统的自省和监控的集乐成能，，，，可以审查应用设置的详细信息。。。 。。 。通过设置SpringBootActuator的spring.cloud.bootstrap.location属性，，，，可导致触发sankeyaml反序列化误差，，，，从而造成恶意代码执行。。。 。。 。

更新时间：

20230425


事务名称：

HTTP_误差使用_Spring_Boot_logging.config_logback_代码执行

清静类型：

清静误差

事务形貌：

检测到源ip正在使用Actuator的/env接口设置属性将logging.config设置为恶意xml文件地点。。。 。。 。
SpringBootActuator是一款可以资助你监控系统数据的框架,其可以监控许多许多的系统数据,它有对应用系统的自省和监控的集乐成能，，，，可以审查应用设置的详细信息。。。 。。 。在SpringBootActuator中可以通过logging.config属性设置logback日志设置文件URL地点，，，，若是url地点为xml名堂文件，，，，可以通过剖析xml文件使用logback依赖的insertFormJNDI标签造成JNDI注入。。。 。。 。

更新时间：

20230425


事务名称：

HTTP_误差使用_文件包括_spring-boot-actuator-logview[CVE-2021-21234][CNNVD-202101-261]

清静类型：

清静误差

事务形貌：

检测到源IP主机正在使用spring-boot-actuator-logview文件包括误差攻击目的IP主机的行为。。。 。。 。spring-boot-actuator-logview是一个简朴的日志文件审查器作为SpringBoot执行器端点，，，，在0.2.12及之前版本中保存着文件包括误差，，，，编号CVE-2021-21234。。。 。。 。误差实质是SpringBoot执行器通过请求的参数来指定文件名和文件夹路径，，，，经由组合拼接抵达目录遍历，，，，虽然源码中检查了文件名（filename）参数来避免目录遍历，，，，可是没有检查文件夹（base）参数，，，，造成了攻击者可以举行目录遍历。。。 。。 。

更新时间：

20230425


事务名称：

DNS_木马后门_AgentTesla_C2域名剖析请求

清静类型：

木马后门

事务形貌：

检测到试图请求剖析AgentTesla的C2域名。。。 。。 。源IP所在的主机可能被植入了AgentTesla Keylogger。。。 。。 。
AgentTesla Keylogger是一个功效强盛的窃密木马，，，，2014年，，，，首次泛起在一个土耳其语网站上。。。 。。 。现在，，，，Agent Tesla 历经多次代码刷新，，，，功效一直增强，，，，已经成为能够偷取浏览器、FTP、VPN、邮箱和 WIFI 等多种敏感信息的专业窃密软件。。。 。。 。

更新时间：

20230425


事务名称：

HTTP_提权攻击_CommonsConfiguration_SnakeYAML反序列化使用链_代码执行

清静类型：

清静误差

事务形貌：

检测到源IP主机正在使用目的主机snakeyaml CommonsConfiguration jndi注入误差。。。 。。 。
SnakeYaml是Java用于剖析Yaml（YetAnotherMarkupLanguage）名堂数据的类库，，，，它提供了dump要领可以将一个Java工具转为Yaml名堂字符串。。。 。。 。通过结构恶意yaml名堂数据，，，，可以造成jndi注入，，，，从而控制效劳器。。。 。。 。

更新时间：

20230425


事务名称：

DNS_下令控制_木马后门_Sality熏染型病毒_域名剖析请求

清静类型：

木马后门

事务形貌：

检测到源主机正在实验剖析 Sality熏染型病毒 的恶意域名，，，，源主机可能已经被植入 Sality熏染型病毒。。。 。。 。Sality 能够在Windows操作系统的盘算机上举行自我复制和撒播，，，，同时还能够举行远程控制和信息窃取。。。 。。 。Sality病毒的撒播方法很是无邪，，，，可以通过种种方法举行撒播，，，，例如使用可移动装备、通过文件共享软件、电子邮件等方法。。。 。。 。

更新时间：

20230425


事务名称：

HTTP_下令与控制_远控后门_FiveSys_毗连C2效劳器

清静类型：

木马后门

事务形貌：

检测到FiveSys木马后门试图毗连远程效劳器。。。 。。 。FiveSys木马主要功效是将使用者流量扶引到特定恶意署理效劳器；；；；；FiveSys目的是在用户毗连线上游戏时，，，，将用户流量导向署理效劳器时，，，，借此阻挡、窃取用户帐密等验证信息。。。 。。 。

更新时间：

20230425


事务名称：

HTTP_误差使用_文件下载_RuoYi后台治理系统[CVE-2023-27025][CNNVD-202304-021]

清静类型：

清静误差

事务形貌：

Ruoyi在v4.7.6及以下版本中保存恣意文件下载误差，，，，经由身份认证的攻击者可以使用准时使命下载恣意文件。。。 。。 。若是系统未对读取/下载文件的文件目录做限制，，，，攻击者使用此误差可直接读取web目录下恣意文件，，，，好比设置文件、数据库文件等，，，，甚至直接获取效劳器上恣意文件内容。。。 。。 。Ruoyi后台治理系统是基于SpringBoot的权限治理系统。。。 。。 。

更新时间：

20230425


事务名称：

HTTP_提权攻击_JndiRefForwardingDataSource_SnakeYAML反序列化使用链_代码执行

清静类型：

清静误差

事务形貌：

检测到源IP主机正在使用目的主机snakeyaml JndiRefForwardingDataSource jndi注入误差。。。 。。 。
SnakeYaml是Java用于剖析Yaml（YetAnotherMarkupLanguage）名堂数据的类库，，，，它提供了dump要领可以将一个Java工具转为Yaml名堂字符串。。。 。。 。通过结构恶意yaml名堂数据，，，，可以造成jndi注入，，，，从而控制效劳器。。。 。。 。

更新时间：

20230425


事务名称：

HTTP_误差使用_Spring_Boot_spring.main.sources_groovy_代码执行

清静类型：

清静误差

事务形貌：

检测到源ip正在使用Actuator的/env接口设置属性将spring.main.sources设置为恶意groovy文件地点。。。 。。 。
SpringBootActuator是一款可以资助你监控系统数据的框架,其可以监控许多许多的系统数据,它有对应用系统的自省和监控的集乐成能，，，，可以审查应用设置的详细信息。。。 。。 。在SpringBootActuator中可以通过spring.main.sources属性来设置建设ApplicationContext的特殊源的URL地点，，，，若是最后地点以groovy最后,则最终会执行文件内容中的groovy代码，，，，造成代码执行。。。 。。 。

更新时间：

20230425


事务名称：

HTTP_清静误差_Spring_Boot_Actuator_datasource_远程代码执行

清静类型：

清静误差

事务形貌：

检测到源ip正在使用Actuator的/env接口设置属性将spring.datasource.data属性设置为恶意sql文件的URL地点。。。 。。 。
SpringBootActuator是一款可以资助你监控系统数据的框架,其可以监控许多许多的系统数据,它有对应用系统的自省和监控的集乐成能，，，，可以审查应用设置的详细信息。。。 。。 。通过设置SpringBootActuator的spring.datasource.data属性来设置恶意sql文件的URL地点，，，，通过执行h2的sql语句导致恣意代码执行。。。 。。 。

更新时间：

20230425


事务名称：

HTTP_反序列化_SnakeYaml_MarshalOutputStream_恣意文件写入

清静类型：

清静误差

事务形貌：

检测到源IP主机正在使用目的主机snakeyaml MarshalOutputStream 文件写入误差。。。 。。 。
SnakeYaml是Java用于剖析Yaml（YetAnotherMarkupLanguage）名堂数据的类库，，，，它提供了dump要领可以将一个Java工具转为Yaml名堂字符串,其load要领也能够将Yaml字符串转为Java工具。。。 。。 。在其使用load要领将字符串转为MarshalOutputStream工具时，，，，会触发恣意文件写入误差，，，，攻击者能够写入恶意文件。。。 。。 。

更新时间：

20230425


事务名称：

HTTP_清静误差_用友NC_uapjs_代码执行

清静类型：

清静误差

事务形貌：

检测到源ip正在使用用友NC6.5中jsinvoke接口保存的恣意要领挪用误差对目的主机举行攻击的行为。。。 。。 。
用友NC 及 NCC系统保存恣意要领挪用误差，，，，通过uapjs (jsinvoke)使用误差可挪用危险要领造成攻击。。。 。。 。用友NC以“全球化集团管控、行业化解决计划、全程化电子商务、平台化应用集成”的治理营业理念而设计，，，，是中国大企业集团治理信息化应用系统的首选。。。 。。 。

更新时间：

20230425

 

事务名称：

HTTP_误差使用_文件下载_通达OA_video_file.php

清静类型：

清静误差

事务形貌：

使用MEDIA_DIR与MEDIA_NAME参数值笼罩举行路径穿越并接纳http的响应Content-Disposition头字段实现恣意文件的下载。。。 。。 。

更新时间：

20230425


事务名称：

HTTP_提权攻击_PostgreSQL-JDBC-Driver_远程代码执行[CVE-2022-21724]

清静类型：

清静误差

事务形貌：

PostgreSQL数据库的jdbc驱动程序中保存一个清静误差。。。 。。 。当攻击者控制jdbcurl或者属性时，，，，使用PostgreSQL数据库的系统将受到攻击。。。 。。 。pgjdbc凭证通过authenticationPluginClassName、sslhostnameverifier、socketFactory、sslfactory、sslpasswordcallback毗连属性提供类名实例化插件实例。。。 。。 。可是，，，，驱动程序在实例化类之前没有验证类是否实现了预期的接口。。。 。。 。这可能导致通过恣意类加载远程代码执行或文件写入攻击。。。 。。 。影响版本：postgresql_jdbc_driver<42.2.25，，，，42.3.0<=postgresql_jdbc_driver<=42.3.1

更新时间：

20230425


修改事务

 

事务名称：

HTTP_提权攻击_ScriptEngineManager_SnakeYAML反序列化使用链_代码执行

清静类型：

清静误差

事务形貌：

检测到源ip正在使用SnakeYAMLScriptEngineManager反序列化使用链举行攻击，，，，从而获取目的系统权限。。。 。。 。SnakeYaml是Java用于剖析Yaml（YetAnotherMarkupLanguage）名堂数据的类库，，，，它提供了dump要领可以将一个Java工具转为Yaml名堂字符串,其load要领也能够将Yaml字符串转为Java工具。。。 。。 。

更新时间：

20230425


事务名称：

HTTP_误差使用_代码执行_Spring_Boot_H2database_console

清静类型：

清静误差

事务形貌：

检测到源ip正在使用h2console的默认路由设置为外部恶意jndi效劳器地点。。。 。。 。H2Database是一个开源的嵌入式数据库引擎，，，，接纳java语言编写，，，，不受平台的限制，，，，同时H2Database提供了一个十分利便的web控制台用于操作和治理数据库内容。。。 。。 。H2Database还提供兼容模式，，，，可以兼容一些主流的数据库，，，，因此接纳H2Database作为开发期的数据库很是利便。。。 。。 。

更新时间：

20230425


事务名称：

TCP_提权攻击_Groovy1_Java反序列化使用链_代码执行

清静类型：

清静误差

事务形貌：

检测到源IP主机正在使用Groovy1的Java反序列化使用链对目的主机举行攻击的行为。。。 。。 。ApacheGroovy是一个功效强盛的动态编程语言，，，，靠着其精练、与Java很是相似以及易于学习的语法，，，，基于Java平台的Groovy关注于提高开发者的生产性。。。 。。 。它可以和任何Java语言举行无缝集成，，，，支持DSL，，，，提供运行阶段和编译阶段元数据编程等强盛的功效。。。 。。 。

更新时间：

20230425


事务名称：

HTTP_误差使用_文件读取_Grafana_8.3.0[CVE-2021-43798][CNNVD-202112-482]

清静类型：

清静误差

事务形貌：

检测到源ip正在使用Grafana8.0.0-8.3.0版本中保存的文件读取误差，，，，从而在未授权的情形下读取目的系统敏感文件。。。 。。 。Grafana是一个跨平台、开源的数据可视化网络应用程序平台。。。 。。 。用户设置毗连的数据源之后，，，，Grafana可以在网络浏览器里显示数据图表和忠言

更新时间：

20230425


事务名称：

HTTP_误差使用_代码执行_Spring_Boot_logging.config

清静类型：

清静误差

事务形貌：

检测到源ip正在使用Actuator的/evn接口通过logging.config参数实验远程代码执行。。。 。。 。SpringBootActuator是一款可以资助你监控系统数据的框架,其可以监控许多许多的系统数据,它有对应用系统的自省和监控的集乐成能，，，，可以审查应用设置的详细信息。。。 。。 。

更新时间：

20230425