漏洞风险提示（20220605）

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。

---

1 Atlassian Confluence Server and Data Center远程代码执行漏洞（CVE-2022-26134）
一、漏洞描述：     
       
        Atlassian Confluence（简称Confluence）是一个专业的企业知识管理与协同软件，支持用于构建企业wiki。其使用简单，能够帮助团队成员之间共享信息、文档写作、集体讨论、信息托送等，打破了不同团队，不同部门之间的信息孤岛僵局。
        在Atlassian Confluence Server and   Data Center中存在ONGL注入漏洞，未经身份验证的远程攻击者可以利用该漏洞在Atlassian Confluence Server and Data Center上注入恶意ONGL表达式，造成任意代码执行并部署WebShell。
二、风险等级：
           高危
三、影响范围：
        Atlassian Confluence Server and Data Center >= 1.3.0
        Atlassian Confluence Server and Data Center < 7.4.17
        Atlassian Confluence Server and Data Center < 7.13.7
        Atlassian Confluence Server and Data Center < 7.14.3
        Atlassian Confluence Server and Data Center < 7.15.2
        Atlassian Confluence Server and Data Center < 7.16.4
        Atlassian Confluence Server and Data Center < 7.17.4
        Atlassian Confluence Server and Data Center < 7.18.1
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://www.atlassian.com/software/confluence/download-archives

        临时修复建议：
        对于 Confluence 7.15.0 - 7.18.0：如果在集群内运行Confluence则需要在每个节点上重复以下过程：
                a)关闭Confluence
                b)在https://packages.atlassian.com/m ... .3-atlassian-10.jar下载到服务器
                c)删除或者将<confluence-install>/confluence/WEB-INF/lib/xwork-1.0.3-atlassian-8.jar 移出Confluence 安装目录
                d)将第二步下载的文件复制到<confluence-install>/confluence/WEB-INF/lib/ 目录中
                e)检查该文件权限是否和所在目录的其他文件权限一致。
                f)启动Confluence
        对于 Confluence 7.0.0 - Confluence 7.14.2：如果在集群内运行Confluence则需要在每个节点上重复以下过程：
                a)关闭Confluence
                b)将以下三个文件下载到服务器
                https://packages.atlassian.com/m ... .3-atlassian-10.jar
                https://packages.atlassian.com/m ... 1.5-atlassian-4.jar
                https://confluence.atlassian.com ... ationProvider.class
                c)删除或者移出以下路径的文件
                <confluence-install>/confluence/WEB-INF/lib/xwork-1.0.3.6.jar
                <confluence-install>/confluence/WEB-INF/lib/webwork-2.1.5-atlassian-3.jar
                d)将下载的xwork-1.0.3-atlassian-10.jar复制到<confluence-install>/confluence/WEB-INF/lib/
                e)将下载的webwork-2.1.5-atlassian-4.jar复制到<confluence-install>/confluence/WEB-INF/lib/
                f)检查上述文件权限是否和同一目录的其他文件权限一样。
                g)切换到目录<confluence-install>/confluence/WEBINF/classes/com/atlassian/confluence/setup
                新建目录webwork
                将下载的CachedConfigurationProvider.class复制到<confluence-install>/confluence/WEB-INF/classes/com/atlassian/confluence/setup/webwork目录中
                确保复制的文件和新建的目录所有权等权限匹配
                h)启动Confluence

---

2 Microsoft Office远程代码执行漏洞（CVE-2022-30190）
一、漏洞描述：     
       
        Microsoft Office是一套由微软公司开发的办公软件，它为 Microsoft Windows 和 Mac OS X而开发。与其他办公应用程序一样，它包括联合的服务器和基于互联网的服务。
        攻击者可利用恶意Office文件中的远程模板功能从远程网络服务器获取恶意HTML文件，通过微软支持诊断工具（Microsoft Support Diagnostic Tool，MSDT）执行恶意PowerShell代码。该漏洞在宏被禁用的情况下，仍然可以调用MSDT执行恶意代码。并且当恶意文件另存为RTF格式时，还可以通过Windows资源管理器中的预览窗格触发此漏洞的调用，无需执行也可以在目标机器上执行任意代码。
二、风险等级：
           高危
三、影响范围：
        Microsoft Office 2013 Service Pack 1 (64-bit edition)
        Microsoft Office 2013 Service Pack 1 (32-bit edition)
        Microsoft Office 2016 (64-bit edition)
        Microsoft Office 2016 (32-bit edition)
        Microsoft Office LTSC 2021 for 32-bit edition
        Microsoft Office LTSC 2021 for 64-bit edition
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        [url]https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-30190/[url]
       
        临时修复建议：
        1. 以管理员身份运行命令提示符。
        2. 备份注册表项，执行命令：“reg export HKEY_CLASSES_ROOT\ms-msdt 指定文件名称”。
        3. 执行命令：“reg delete HKEY_CLASSES_ROOT\ms-msdt /f”。

---

3 Kubernetes Argo CD权限提升漏洞（CVE-2022-29165）
一、漏洞描述：     
       
        Argo CD是用于Kubernetes的声明式GitOps持续交付工具。
        当启用对Argo CD实例的匿名访问时（默认禁用），未经身份验证的用户可以通过在请求中发送特制的JSON Web Token（JWT）来冒充任何Argo CD用户或角色，包括管理员用户，无论该帐户是否被启用或存在于Argo CD实例上。成功利用此漏洞可以在集群上获得与Argo CD实例相同的权限，在默认安装中是集群管理员。这将能够创建、操纵和删除集群上的任何资源，或执行其它恶意操作。
二、风险等级：
           高危
三、影响范围：
        1.4.0 <= Argo CD <= 2.1.14，Argo CD 2.2.8，Argo CD 2.3.3
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        [url]https://github.com/argoproj/argo-cd/releases[url]
       
        临时修复建议：
        如果暂时无法升级到修复版本，可以选择禁用匿名访问（如果已启用）。
        1.若要查询Argo CD实例是否启用了匿名访问，可以查询Argo CD的安装命名空间中的argocd-cm ConfigMap。下例假设已经把Argo CD安装到argocd命名空间：
                $kubectl get -n argocd cm argocd-cm -o jsonpath=’{.data.users\.anonymous\.enabled}’
                如果此命令的结果为空或"false"，则表示未启用对该实例的匿名访问。如果结果是"true"，则意味着实例很容易受到攻击。
        2.要禁用匿名访问，请修补argocd-cmConfigMap 以删除该users.anonymous.enabled字段或将此字段设置为"false"：
        将字段设置为"false"：
                $kubectl patch -n argocd cm argocd-cm --type=json-p='[{"op":"add","path":"/data/users.anonymous.enabled","value":"false"}]'
        也可以选择完全删除该字段，从而禁用匿名访问，因为默认值为false：
                $kubectl patch -n argocd cm argocd-cm --type=json-p='[{"op":"remove", "path":"/data/users.anonymous.enabled"}]'

---

4 Apache Archiva 密码重置漏洞（CVE-2022-29405）
一、漏洞描述：     
       
        Archiva 是一个用于管理一个或多个远程存储库的应用程序，包括管理、工件处理、浏览和搜索。
        在受影响的Apache Archiva版本中，任何注册用户都可以重置任意用户密码。
二、风险等级：
           高危
三、影响范围：
        Apache Archiva < 2.2.8
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        [url]https://archiva.apache.org/download.cgi[url]