漏洞风险提示（20211123）

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。

---

1 VMWARE Spring Cloud Netflix 模板解析漏洞（CVE-2021-22053）
一、漏洞描述：
       
        Spring Cloud Netflix是一套分布式服务框架的封装，包括服务的发现和注册，负载均衡、断路器、REST客户端、请求路由等。
        该漏洞是由于同时使用“spring-cloud-netflix-hystrix-dashboard”和“spring-boot-start -thymeleaf”的应用程序暴露了一种执行在视图模板解析期间在请求URI路径中提交的代码的方法。当在' /hystrix/monitor;[user-provided data] '发出请求时，' hystrix/monitor '后面的路径元素将被作为SpringEL表达式计算，这可能导致代码执行。
二、风险等级：
          高危
三、影响范围：
        2.2.0.RELEASE<=Spring Cloud Netflix<=2.2.9.RELEASE
四、修复建议：
        官方已发布安全版本，请及时下载更新，下载地址：
        https://github.com/spring-cloud/spring-cloud-netflix
        临时修复建议：
        如果目前无法升级，若业务环境允许，使用白名单限制web端口的访问来降低风险。

---

2 WordPress插件中的多个XSS漏洞（CVE-2021-39353,CVE-2021-42363）
一、漏洞描述：
       
        WordPress是使用PHP语言开发的博客平台，用户可以在支持PHP和MySQL数据库的服务器上架设属于自己的网站。也可以把 WordPress当作一个内容管理系统（CMS）来使用。
        近日WordPress发布安全公告，修复了两个存在于WordPress插件中的漏洞。其中，高危漏洞1条，中危漏洞1条，漏洞详情如下：

        CVE-2021-39353
        影响产品：easy-registration-forms
        漏洞类型：XSS
        漏洞描述：由于在~/includes/class-form.php文件中没有通过ajax_add_form函数进行nonce验证，该插件很容易被跨站请求伪造。这使得攻击者有可能在2.1.1及2.1.1版本中注入任意web脚本。

        CVE-2021-42363
        影响产品：woo-preview-emails
        漏洞类型：XSS
        漏洞描述：通过~/views/form.php文件中的search_order参数，该插件的预览电子邮件容易受到反射跨站脚本的攻击。攻击者可以在1.6.8及以上版本中注入任意的web脚本。
二、风险等级：
          高危
三、影响范围：
        easy-registration-forms-WordPress<=2.1.1
        woo-preview-emails-WordPress<=1.6.8
四、修复建议：
        官方已发布安全版本，请及时下载更新，下载地址：
        https://wordpress.org/plugins/woo-preview-emails/
        临时修复建议：
        如果目前无法升级，若业务环境允许，使用白名单限制web端口的访问来降低风险。

---

3 Ivanti Avalanche 远程代码执行漏洞（CVE-2021-42132）
一、漏洞描述：
       
        Ivanti Avalanche是美国Ivanti公司的一套企业移动设备管理系统。该系统主要用于管理智能手机、平板电脑和条形码扫描仪等设备。
        Ivanti Avalanche存在安全漏洞，该漏洞源于在使用用户提供的字符串执行系统调用之前，没有对其进行正确的验证。攻击者可利用该漏洞在服务帐户的上下文中执行代码。
二、风险等级：
          高危
三、影响范围：
        Avalanche < 6.3.3
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://www.zerodayinitiative.com/advisories/ZDI-21-1327/