OSCS开源安全周报第11期:本月微软补丁日修复 vscode 漏洞,请开发者留意自己使用的 vscode 是否受该漏洞影响

OSCS 社区共收录安全漏洞27个,公开漏洞值得关注的是 golang net/url 路径穿越漏洞,Visual Studio Code <1.71.1 权限提升漏洞,gophish/gophish < 0.12.0 存在打开重定向漏洞。

OSCS
OSCS   Follow

# 本周安全态势综述

OSCS 社区共收录安全漏洞27个,公开漏洞值得关注的是 golang net/url 路径穿越漏洞(CVE-2022-32190),Visual Studio Code <1.71.1 权限提升漏洞(CVE-2022-38020),gophish/gophish < 0.12.0 存在打开重定向漏洞(CVE-2022-25295)。

针对 NPM 、PyPI仓库,共监测到 4 次投毒事件,涉及 92 个不同版本的 NPM 、PyPI组件,投毒组件中绝大多数行为是尝试获取主机敏感信息。

# 重要安全漏洞列表

  1. golang net/url 路径穿越漏洞(CVE-2022-32190)

    golang 的组件net/url实现了URL的解析处理和查询转义。

    golang net/ur存在路径穿越漏洞,漏洞源于 net/url 的 JoinPath 函数不会删除附加的相对路径中的 ../ 元素,攻击者可能利用该漏洞访问系统敏感文件。

    参考链接:https://www.oscs1024.com/hd/MPS-2022-17132

  2. Visual Studio Code <1.71.1 权限提升漏洞(CVE-2022-38020)

    Visual Studio Code是一款代码编辑器。

    Visual Studio Code v1.71.0 及更早版本中存在权限提升漏洞,漏洞源于Visual Studio Code加载配置文件时会自动加载windows共享用户在特殊目录创建的文件bash.exe。

    在 Windows 上,低特权攻击者可以在特殊路径创建并覆盖bash.exe。Visual Studio Code检测到的配置文件会显示在终端配置文件列表中,可能导致恶意文件执行。

    参考链接:https://www.oscs1024.com/hd/MPS-2022-53948

  3. gophish/gophish < 0.12.0 存在打开重定向漏洞(CVE-2022-25295)

    Gophish 是一个为企业和渗透测试人员设计的开源网络钓鱼工具包。

    此软件包的受影响版本容易受到 Open Redirect 的攻击。next查询参数中存在 Open Redirect 漏洞。应用程序用于url.Parse(r.FormValue("next"))提取路径并最终将用户重定向到相对 URL。

    攻击者可能会成功发起网络钓鱼诈骗并窃取用户凭据。

    参考链接:https://www.oscs1024.com/hd/MPS-2022-4362

# 投毒风险监测

OSCS针对 NPM 、PyPI仓库监测的恶意组件数量如下所示。

本周新发现 92 个不同版本的恶意组件,其中

  • 100%的投毒组件为:获取主机敏感信息(获取了主机的用户名、IP 等敏感信息发送给恶意服务器)

# 其他资讯

黑客入侵 Magento 供应链攻击的软件供应商

https://www.bleepingcomputer.com/news/security/hackers-breach-software-vendor-for-magento-supply-chain-attacks/