漏洞风险提示（20220301）

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。

---

1  Apache Airflow操作系统命令注入漏洞（CVE-2022-24288）
一、漏洞描述：
        
        Apache Airflow是美国阿帕奇（Apache）基金会的一套用于创建、管理和监控工作流程的开源平台。该平台具有可扩展和动态监控等特点。
        Apache Airflow 存在操作系统命令注入漏洞，该漏洞的存在是由于某些示例dag中不正确的输入验证。远程未经身份验证的攻击者可利用该漏洞可以传递专门制作的HTTP请求，并在目标系统上执行任意操作系统命令。该漏洞允许远程攻击者可利用该漏洞在目标系统上执行任意shell命令。
二、风险等级：
          高危
三、影响范围：
        Apache Airflow < v2.2.4
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        http://seclists.org/oss-sec/2022/q1/160

---

2 WordPress路径遍历漏洞（CVE-2022-0320）
一、漏洞描述：
        
         WordPress是WordPress（Wordpress）基金会的一套使用PHP语言开发的博客平台。该平台支持在PHP和MySQL的服务器上架设个人博客网站。
WordPress Elementor 插件存在路径遍历漏洞，该漏洞允许未经身份验证的攻击者可利用该漏洞执行本地文件包含攻击和读取服务器上的任意文件，这也可能导致RCE通过用户上传文件或其他LFI到RCE技术。
二、风险等级：
          高危
三、影响范围：
        Elementor < 5.0.5
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://wpscan.com/vulnerability ... 0-a1d4-d34e1ecf4a95

---

3  Linux kernel信息泄露漏洞 （CVE-2022-0264）
一、漏洞描述：
        
         Linux kernel是美国Linux基金会的开源操作系统Linux所使用的内核。
Linux kernel 存在信息泄露漏洞，该漏洞源于在处理内部数据结构时，在 Linux 内核的 eBPF 验证程序中发现了一个漏洞。
内部存储器位置可以返回到用户空间。 有权将 eBPF 代码插入内核的本地攻击者可以使用它来泄漏内部内核内存详细信息，从而破坏针对内核的一些漏洞利用缓解措施。
二、风险等级：
          中危
三、影响范围：
        kernel < v5.16-rc6
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://bugzilla.redhat.com/show_bug.cgi?id=2041547

---

4  Mozilla Firefox信息泄露漏洞（CVE-2022-22760）
一、漏洞描述：
        
         Mozilla Firefox是美国Mozilla基金会的一款开源Web浏览器。
Mozilla Firefox 中存在信息泄露漏洞，该漏洞源于产品在使用Web Workers导入资源时，跨源响应中的显示错误消息存在敏感特征。远程攻击者可利用该漏洞获得敏感信息。
二、风险等级：
          中危
三、影响范围：
        Firefox < 97
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，详情请关注厂商主页：
        http://www.mozilla.org/en-US/security/advisories/mfsa2022-04/