漏洞风险提示（20220118）

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。

---

1 H2 Console远程代码执行漏洞（CVE-2021-42392）
一、漏洞描述：
       
        H2 Database是一个开源的嵌入式数据库引擎，采用java语言编写，不受平台的限制，同时H2 Database提供了一个十分方便的web控制台用于操作和管理数据库内容。H2 Database还提供兼容模式，可以兼容一些主流的数据库，因此采用H2 Database作为开发期的数据库非常方便。
        从1.1.100 (2008-10-14)到2.0.204 (2021-12-21) 版本的H2 Console允许通过JNDI从远程服务器加载自定义类。H2 Console默认不接受远程连接。如果显式启用远程访问并且未设置某些保护方法（例如安全约束），则入侵者可以加载自己的自定义类并在具有H2 Console的进程（ H2 Server process 或具有 H2 Console servlet 的 Web 服务器）中执行其代码）。
二、风险等级：
          高危
三、影响范围：
        1.1.100 <= H2 Console <= 2.0.204
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        http://www.h2database.com/html/main.html

---

2 Fernhill SCADA Server资源管理错误漏洞（CVE-2022-21155）
一、漏洞描述：
       
        Fernhill Software Fernhill Scada Server是英国Fernhill Software公司的运行SCADA 应用程序的后台服务（或守护程序）。
        该漏洞源于服务器针对报文格式缺少有效的过滤和处理。攻击者向Fernhill SCADA Server发送的特殊报文可能会导致服务器进程(FHSvrService.exe)退出。
二、风险等级：
          高危
三、影响范围：
        Fernhill Scada Server <= 3.77
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://www.fernhillsoftware.com/download.php

---

3 Vmware Spring Framework注入漏洞漏洞（CVE-2021-22060）
一、漏洞描述：
       
        Vmware Spring Framework是美国威睿（Vmware）公司的一套开源的Java、JavaEE应用程序框架。该框架可帮助开发人员构建高质量的应用。
        Vmware Spring Framework存在安全漏洞，攻击者可利用该漏洞通过日志注入绕过Spring框架的访问限制从而修改数据。
二、风险等级：
          中危
三、影响范围：
        5.3.0 <= Vmware Spring Framework <= 5.3.13
        5.2.0 <= Vmware Spring Framework <= 5.2.18
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://vigilance.fr/vulnerabili ... Log-Injection-37179

---

4 Apache James拒绝服务漏洞（CVE-2021-40110）
一、漏洞描述：
       
        Apache James是美国阿帕奇（Apache）基金会的一个完全用Java编写的开源Smtp和Pop3邮件传输代理和Nntp新闻服务器。
        Apache James 3.6.1之前版本存在安全漏洞，攻击者可利用该漏洞使用易受攻击的正则表达式编写IMAP列表命令来组织拒绝服务。
二、风险等级：
          中危
三、影响范围：
        Apache James < 3.6.1
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://seclists.org/oss-sec/2022/q1/3