免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。
1 Microsoft 1月多个安全漏洞
一、漏洞描述：
近日，微软发布了2022年1月安全更新补丁，共发布了97个漏洞的补丁程序，其中，Virtual Machine IDE 驱动程序、DirectX 图形内核、Microsoft Office、 Microsoft Exchange Server、HTTP协议栈等产品中的9个漏洞被微软官方标记为紧急漏洞，其中，CVE-2022-21907 HTTP协议栈远程代码执行漏洞被微软标记为蠕虫漏洞，微软建议优先修补受此漏洞影响的服务器。利用此漏洞不需要身份认证和用户交互，攻击者仅需发送特制的HTTP请求即可在目标服务器上以提升的权限执行任意代码。其中影响较大的14个漏洞（包括2个紧急漏洞和12个重要漏洞）的详细信息如下：
HTTP协议堆栈远程执行代码漏洞（CVE-2022-21907）
漏洞类型：远程代码执行
简介：HTTP存在远程代码执行漏洞，由于HTTP协议栈(HTTP.sys)中的HTTP Trailer Support功能中存在边界错误导致缓冲区溢出。该漏洞允许未授权的远程攻击者通过向Web服务器发送一个特制的HTTP请求，触发缓冲区溢出，从而在目标系统上执行任意代码。
Microsoft Exchange Server 远程执行代码漏洞
漏洞类型：远程代码执行
简介：Microsoft Exchange Server存在远程执行代码漏洞（CVE-2022-21846、CVE-2022-21855、CVE-2022-21969，其中CVE-2022-21846风险等级为紧急，CVE-2022-21855、CVE-2022-21969风险等级为重要），由于没有对用户提供的输入进行充分验证，相邻网络的经过身份验证的攻击者可以制作特制数据发送给Exchange服务器，并在系统上执行任意代码，利用该漏洞无需用户交互。
Win32k 权限提升漏洞
漏洞类型：权限提升
简介：Win32K存在两个权限提升漏洞（CVE-2022-21887、CVE-2022-21882）这些漏洞允许本地攻击者通过漏洞将权限提升至SYSTEM。该漏洞是由于Win32k中应用程序没有正确进行安全限制，导致安全限制被绕过和权限提升。
Windows GDI权限提升漏洞（CVE-2022-21903）
漏洞类型：权限提升
简介：Windwos GDI存在权限提升漏洞，该漏洞由于Windows GDI输出过多数据，导致攻击者可以访问敏感信息并允许本地攻击者通过该漏洞提升权限，利用该漏洞无需用户交互
Windows Installer权限提升漏洞（CVE-2022-21908）
漏洞类型：权限提升
简介：Windows Installer存在权限提升漏洞，由于Windows Installer中没有正确的实施安全限制导致本地攻击者可以绕过并提升自身权限，利用该漏洞无需用户交互。
Windows User Profile Service权限提升漏洞（CVE-2022-21919）
漏洞类型：权限提升
简介：Windows User Profile service存在权限提升漏洞，由于该服务中存在边界错误，本地攻击者可以通过该漏洞提升权限并执行任意代码，利用该漏洞无需用户交互。
Windows内核权限提升漏洞（CVE-2022-21881）
漏洞类型：权限提升
简介：Windows 内核存在权限提升漏洞，由于Windows内核中的边界错误导致本地攻击者可以通过专门的程序触发缓冲区溢出，提升权限并执行任意代码，利用该漏洞无需用户交互。
Windows通用日志文件系统驱动程序提升权限漏洞
漏洞类型：权限提升
简介：Windows 通用日志文件系统驱动程序存在权限提升漏洞（CVE-2022-21897、CVE-2022-21916），由于Windows公共日志文件系统驱动程序中的边界错误，本地用户可以运行专门设计的程序来触发内存损坏，导致权限提升。
Windows远程访问连接管理器权限提升漏洞
漏洞类型：权限提升
简介：Windows 远程访问连接管理器存在权限提升漏洞（CVE-2022-21914、CVE-2022-21885），由于应用程序没有在Windows远程访问连接管理器中适当地施加安全限制，本地攻击者可以绕过安全限制导致权限提升。利用该漏洞无需用户交互。
二、风险等级：
高危
三、影响范围：
Microsoft Exchange
Windows 11
Windows 10
Windows Server 2022
Windows Server version 20H2
Windows Server 2019
Windows Server 2016
Windows Server 2012 R2
Windows Server 2012
Windows Server 2008 R2
Windows Server 2008
Windows RT 8.1
Windows 8.1
Windows 7
四、修复建议：
目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
https://msrc.microsoft.com/update-guide/releaseNote/2022-Jan
2 Apache Dubbo远程代码执行漏洞（CVE-2021-43297）
一、漏洞描述：
Apache Dubbo 是一款高性能、轻量级的开源服务框架。
大多数Dubbo用户使用Hessian2作为默认的序列化/反序列化协议，在Hessian捕捉到异常时，Hessian会注销用户的一些信息，这可能导致远程命令执行。
二、风险等级：
高危
三、影响范围：
Apache Dubbo 2.6.x < 2.6.12
Apache Dubbo 2.7.x < 2.7.15
Apache Dubbo 3.0.x < 3.0.5
四、修复建议：
目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
https://dubbo.apache.org/en/blog/2020/05/18/past-releases/
3 KCodes NetUSB缓冲区溢出漏洞（CVE-2021-45608）
一、漏洞描述：
NetUSB 是 KCodes 开发的内核模块连接解决方案，允许网络中的远程设备与连接到路由器的 USB 设备进行交互。
NetUSB内核模块被Netgear（网件）、TP-Link、Tenda（腾达）、EDiMAX、DLink和Western Digital（西部数据）等流行的路由器供应商使用。NetUSB内核模块中存在易受攻击的代码段，该代码段没有验证内核内存分配调用的大小值，从而导致整数溢出，攻击者可以远程利用此漏洞在内核中执行代码。虽然该漏洞利用存在一些限制，但受此漏洞影响的供应商和设备数量众多，因此其影响仍然严重且广泛。
二、风险等级：
高危
三、影响范围：
D7800 < 1.0.1.68
R6400v2 < 1.0.4.122
R6700v3 < 1.0.4.122
四、修复建议：
目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
https://kb.netgear.com/000064437 ... ducts-PSV-2021-0278
4 Apache Avro拒绝服务漏洞（CVE-2021-43045）
一、漏洞描述：
Apache Avro是一种远程过程调用和数据序列化框架，是在Apache的Hadoop项目之内开发的。它使用JSON来定义数据类型和通讯协议，使用压缩二进制格式来序列化数据。
该漏洞是由于Apache Avro 的 .NET SDK 没有正确控制内部资源的消耗而存在的。远程攻击者可以触发资源耗尽并执行拒绝服务 (DoS) 攻击。
二、风险等级：
中危
三、影响范围：
Apache Avro <= 1.10.2
四、修复建议：
目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
https://avro.apache.org/releases ... vro+1.11.0+Released |
发表于 2022-1-13 09:26