Apache Kafka 安全漏洞
通过差异性导致的信息暴露
Apache Kafka是美国阿帕奇（Apache）软件基金会的一套开源的分布式流媒体平台。该平台能够获取实时数据，用于构建对数据流的变化进行实时反应的应用程序。
Apache Kafka 中的一些组件使用 Arrays.equals 来验证密码或密钥，这很容易受到定时攻击，从而使对此类凭据的暴力攻击更有可能成功。用户应升级到 2.8.1 或更高版本，或已修复此漏洞的 3.0.0 或更高版本。
CVE-2020-9493 发现了 Apache Chainsaw 中存在的反序列化问题。在 Chainsaw V2.0 之前，Chainsaw 是 Apache Log4j 1.2.x 的一个组件，存在同样的问题。
Pivotal Spring AMQP 信任管理问题漏洞
证书验证不恰当
Pivotal Spring AMQP是美国Pivotal Software公司的一套基于Spring框架的AMQP消息解决方案。该产品主要提供模板化的发送和接收消息的抽象层，并提供基于消息驱动的POJO的消息监听等功能。
Pivotal Spring AMQP 1.7.10之前的1.x版本和2.0.6之前的2.x版本中存在安全漏洞，该漏洞程序没有验证主机名称。攻击者可通过实施中间人攻击利用该漏洞查看传递的数据。
Log4j是美国阿帕奇（Apache）软件基金会的一款基于Java的开源日志记录工具。Log4j 1.2版本中包含一个SocketServer类，在未经验证的情况下，该SocketServe类很容易接受序列化的日志事件并对其进行反序列化，在结合反序列化工具使用时,可以利用该类远程执行任意代码。
Apache Log4j 信任管理问题漏洞
证书验证不恰当
Apache Log4j是美国阿帕奇（Apache）基金会的一款基于Java的开源日志记录工具。
Apache Log4j中存在信任管理问题漏洞，该漏洞源于SmtpAppender没有验证主机名称与SMTPS连接的SSL/TLS证书是否匹配。攻击者可通过实施中间人攻击利用该漏洞拦截SMTPS连接，获取日志消息。
commons-codec:commons-codec 存在信息暴露漏洞
信息暴露
commons-codec:commons-codec 是一个包含各种格式（如 Base64 和 Hexadecimal）的简单编码器和解码器的包。此软件包的受影响版本容易受到信息泄露的影响。
org.apache.httpcomponents:httpclient 存在相对路径遍历漏洞
相对路径遍历
org.apache.httpcomponents:httpclient 是 Apache HttpComponents 项目的一个 HttpClient 组件。此软件包的受影响版本容易受到目录遍历的影响。
Eclipse Paho Java client library输入验证错误漏洞
Eclipse Paho Java client library是Eclipse基金会的一款使用Java语言编写的MQTT（消息队列遥测传输）客户端库。
Eclipse Paho Java client library 1.2.0版本中存在输入验证错误漏洞。该漏洞源于网络系统或产品未对输入的数据进行正确的验证。目前没有详细的漏洞细节提供。
Apache Kafka是美国阿帕奇（Apache）软件基金会的一套开源的分布式流媒体平台。该平台能够获取实时数据，用于构建对数据流的变化进行实时反应的应用程序。
Apache Kafka 0.11.0.0版本至2.1.0版本中存在安全漏洞。攻击者可通过构建Produce请求利用该漏洞绕过ACL验证。
当攻击者对 Log4j 配置具有写访问权限时，Log4j 1.2 中的 JMSAppender 容易受到不受信任数据的反序列化。攻击者可以提供 TopicBindingName 和 TopicConnectionFactoryBindingName 配置，导致 JMSAppender 执行 JNDI 请求，从而以类似于 CVE-2021-44228 的方式执行远程代码。请注意，此问题仅在专门配置为使用 JMSAppender（不是默认设置）时影响 Log4j 1.2。 Apache Log4j 1.2 已于 2015 年 8 月结束生命周期。用户应升级到 Log4j 2，因为它解决了以前版本中的许多其他问题。
Eclipse Jetty 资源管理错误漏洞
对异常条件的处理不恰当
在 Eclipse Jetty 7.2.2 到 9.4.38、10.0.0.alpha0 到 10.0.1 和 11.0.0.alpha0 到 11.0.1 中，当接收到一个大的无效 TLS 帧时，CPU 使用率可以达到 100%。攻击者可利用此缺陷进行拒绝服务攻击。
Eclipse Jetty 代码问题漏洞
不充分的会话过期机制
Eclipse Jetty是Eclipse基金会的一个开源的、基于Java的Web服务器和Java Servlet容器。
Eclipse Jetty versions＜= 9.4.40存在安全漏洞，该漏洞源于SessionListener抛出异常。
Apache Log4j SQL注入漏洞
SQL注入
根据设计，Log4j 1.2.x 中的 JDBCAppender 接受 SQL 语句作为配置参数，其中要插入的值是来自 PatternLayout 的转换器。消息转换器 %m 可能总是包含在内。这允许攻击者通过将精心制作的字符串输入到记录的应用程序的输入字段或标题中来操纵 SQL，从而允许执行意外的 SQL 查询。请注意，此问题仅在专门配置为使用 JDBCAppender（不是默认设置）时才会影响 Log4j 1.x。从 2.0-beta8 版本开始，重新引入了 JDBCAppender，适当支持参数化 SQL 查询，并进一步自定义写入日志的列。 Apache Log4j 1.2 已于 2015 年 8 月结束生命周期。用户应升级到 Log4j 2，因为它解决了以前版本中的许多其他问题。
Eclipse Jetty 输入验证不恰当漏洞
输入验证不恰当
Eclipse Jetty是Eclipse基金会的一个开源的、基于Java的Web服务器和Java Servlet容器。
Eclipse Jetty 存在安全漏洞，该漏洞源于无效的 URI 解析可能会产生无效的 HttpURI.authority。攻击者利用此漏洞会导致Proxy scenario失败。
Eclipse Jetty 缓存中毒漏洞
HTTP请求的解释不一致性（HTTP请求私运）
Eclipse Jetty是Eclipse基金会的一个开源的、基于Java的Web服务器和Java Servlet容器。
Eclipse Jetty中存在安全漏洞，该漏洞源于程序未能正确的处理HTTP/0.9版本协议。攻击者可利用该漏洞造成缓存中毒。
Eclipse Jetty是Eclipse基金会的一个开源的、基于Java的Web服务器和Java Servlet容器。
Eclipse Jetty 9.2.x及之前版本、9.3.x版本和9.4.x版本中块长度的解析存在整数溢出漏洞，该漏洞源于程序未能正确的处理传输编码块。攻击者可利用该漏洞绕过授权。
Eclipse Jetty 安全漏洞
在释放前未清除敏感信息
Eclipse Jetty是Eclipse基金会的一个开源的、基于Java的Web服务器和Java Servlet容器。
Eclipse Jetty 存在安全漏洞，该漏洞源于如果启用GZIP请求主体的通货膨胀和来自不同客户端的请求多路复用到一个连接, 攻击者可利用该漏洞可以发送一个请求接收到的身体完全但不被应用程序,然后后续请求在同一连接会发现身体返回它的body。以下产品及版本受到影响：9.4.0.RC0版本至9.4.34.v20201102版本, 10.0.0.alpha0版本至 10.0.0.beta2版本,11.0.0.alpha0版本 11.0.0.beta2版本。
Apache Zookeeper 授权问题漏洞
授权机制缺失
Apache Zookeeper是美国阿帕奇（Apache）软件基金会的一个软件项目，它能够为大型分布式计算提供开源的分布式配置服务、同步服务和命名注册等功能。
Apache ZooKeeper 1.0.0版本至3.4.13版本和3.5.0-alpha版本至3.5.4-beta版本中存在授权问题漏洞。该漏洞源于网络系统或产品中缺少身份验证措施或身份验证强度不足。
Eclipse Jetty 资源管理错误漏洞
拒绝服务
Eclipse Jetty是Eclipse基金会的一个开源的、基于Java的Web服务器和Java Servlet容器。
Eclipse Jetty 9.4.6.v20170531 to 9.4.36.v20210114 (inclusive), 10.0.0, and 11.0.0 存在资源管理错误漏洞，该漏洞源于处理这些质量值的CPU使用率过高，服务器可能会进入拒绝服务（DoS）状态，
当攻击者对 Log4j 配置具有写访问权限或配置引用攻击者有权访问的 LDAP 服务时，所有 Log4j 1.x 版本中的 JMSSink 都容易受到不受信任数据的反序列化。攻击者可以提供一个 TopicConnectionFactoryBindingName 配置，使 JMSSink 执行 JNDI 请求，从而以类似于 CVE-2021-4104 的方式执行远程代码。请注意，此问题仅在专门配置为使用 JMSSink（不是默认设置）时影响 Log4j 1.x。 Apache Log4j 1.2 已于 2015 年 8 月结束生命周期。用户应升级到 Log4j 2，因为它解决了以前版本中的许多其他问题。
评论