QOS.ch Logback SocketServer和ServerSocketReceiver组件代码问题漏洞
反序列化
QOS.ch Logback是一套使用Java编写的日志框架。SocketServer和ServerSocketReceiver都是其中的调试模块。
QOS.ch Logback 1.1.10及之前的版本中的SocketServer和ServerSocketReceiver组件存在安全漏洞。攻击者可利用该漏洞获取提升的权限。
org.apache.httpcomponents:httpclient 存在相对路径遍历漏洞
相对路径遍历
org.apache.httpcomponents:httpclient 是 Apache HttpComponents 项目的一个 HttpClient 组件。此软件包的受影响版本容易受到目录遍历的影响。
Eclipse Jetty 输入验证不恰当漏洞
输入验证不恰当
Eclipse Jetty是Eclipse基金会的一个开源的、基于Java的Web服务器和Java Servlet容器。
Eclipse Jetty 存在安全漏洞,该漏洞源于无效的 URI 解析可能会产生无效的 HttpURI.authority。攻击者利用此漏洞会导致Proxy scenario失败。
Eclipse Jetty 资源管理错误漏洞
对异常条件的处理不恰当
在 Eclipse Jetty 7.2.2 到 9.4.38、10.0.0.alpha0 到 10.0.1 和 11.0.0.alpha0 到 11.0.1 中,当接收到一个大的无效 TLS 帧时,CPU 使用率可以达到 100%。攻击者可利用此缺陷进行拒绝服务攻击。
commons-codec:commons-codec 存在信息暴露漏洞
信息暴露
commons-codec:commons-codec 是一个包含各种格式(如 Base64 和 Hexadecimal)的简单编码器和解码器的包。此软件包的受影响版本容易受到信息泄露的影响。
Logback-core 存在输入验证不恰当漏洞
输入验证不恰当
ch.qos.logback:logback-core 是一个 logback-core 模块。此软件包的受影响版本容易受到主机名验证不足的影响。 X.509 未正确验证。通过通过看似有效的证书欺骗 TLS/SSL 服务器,具有拦截网络流量(例如,MitM、DNS 缓存中毒)能力的攻击者可以泄露和选择性地操纵传输的数据。
Apache Xalan-Java 权限许可和访问控制问题漏洞
权限、特权和访问控制
Apache Xalan-Java是美国阿帕奇(Apache)软件基金会的一款用于将XML文档转为HTML文档、文本文件txt或其他XML文档格式的XSLT处理器。
Apache Xalan-Java 2.7.1及之前版本的TransformerFactory中存在权限许可和访问控制问题漏洞,当使用FEATURE_SECURE_PROCESSING时,程序没有正确限制访问某些属性。远程攻击者可利用该漏洞绕过预期的限制,加载任意类或访问外部资源。
Apache HttpComponents Incomplete Fix SSL证书验证安全绕过漏洞
输入验证不恰当
HttpComponents简称HttpCore, 是一组底层Http传输协议组件,支持两种I/O模型,阻塞I/O模型和和非阻塞I/O模型。 Apache HttpComponents不安全修复SSL证书验证存在安全绕过漏洞,允许攻击者进行中间人攻击或冒充受信任的服务器发起进一步攻击
JSoup是美国软件开发者Jonathan Hedley所研发的一款Java的HTML解析器,它可通过DOM、CSS以及类似于JQuery的操作方法来取出和操作数据。
Jsoup 1.8.3之前的版本中存在跨站脚本漏洞。远程攻击者可利用该漏洞在受影响站点上下文中执行任意脚本代码,窃取基于cookie的身份验证。
HtmlUnit是一个基于Java的库。
HtmlUnit存在代码执行漏洞,攻击者可利用该漏洞执行任意Java代码。
Apache Commons HttpClient Amazon FPS 输入验证错误漏洞
证书验证不恰当
HttpClient是Apache Jakarta Common下的子项目,用来提供高效的支持HTTP协议的客户端编程工具包。
Apache Commons HttpClient 3.x版本使用在Amazon Flexible Payments Service (FPS) merchant Java SDK以及其他产品中时存在漏洞,该漏洞源于在主题Common Name(CN)或X.509证书的subjectAltName字段中,程序没有对服务器主机名与域名的匹配进行校验。中间人攻击者利用该漏洞通过任意有效的证书欺骗SSL服务器。
jackson-mapper-asl 代码问题漏洞
XXE
jackson-mapper-asl是一款基于Jackson JSON处理器构建的数据映射软件包。
jackson-mapper-asl 1.9.x版本中存在代码问题漏洞。远程攻击者可借助特制数据利用该漏洞获取敏感信息。
Apache Commons IO 路径遍历漏洞
路径遍历
在 2.7 之前的 Apache Commons IO 中,当使用不正确的输入字符串(如“//../foo”或“\\..\foo”)调用方法 FileNameUtils.normalize 时,结果将是相同的值,因此可能如果调用代码将使用结果来构造路径值,则提供对父目录中文件的访问,但不能进一步访问(因此“有限”路径遍历)。
Apache Commons Collections 远程代码执行漏洞
反序列化
Apache Commons Collections 是对Java 集合的扩展。
该组件从3.0起引入的InvokerTransformer类可被用于构造执行任意代码,作为反序列化等漏洞的跳板(gadget),从而执行任意系统命令。
Apache Xalan 存在整数截断问题,组件已不再维护
数值截断错误
Xalan是Apache的开源软件库,Xalan的主要功能是将 XSLT 标准样式表转换 XML 文档。
Xalan的组件XSLT库在处理恶意 XSLT 时会产生整数截断的问题,这可能会破坏由内部 XSLTC 编译器生成的 Java 类文件,最终导致产生执行任意 Java 字节码的危害。
Apache Xalan Java 项目处于休眠状态并处于退役过程中,预计未来 Apache 将不会发布 Apache Xalan Java 新版本。
(OpenJDK等其他java运行时会包含重新打包的 Xalan 版本,目前 OpenJDK 已经修复了此问题。)
评论