漏洞风险提示（20221108）

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。

---

1Spring Security forward/include 认证绕过漏洞（CVE-2022-31692）
一、漏洞描述：     
       
       
        Spring Security是一个能够为基于Spring的企业应用系统提供声明式的安全访问控制解决方案的安全框架。它提供了一组可以在Spring应用上下文中配置的Bean，充分利用了Spring IoC，DI（控制反转Inversion of Control ,DI：Dependency Injection 依赖注入）和AOP（面向切面编程）功能，为应用系统提供声明式的安全访问控制功能，减少了为企业系统安全控制编写大量重复代码的工作。
        Spring Security 的受影响版本中存在权限提升漏洞，攻击者可以修改客户端通过浏览器向授权服务器发出的请求，如果授权服务器在后续使用包含空作用域列表的 ’OAuth2 Access Token Response‘ 响应来获取访问token，攻击者可以获得权限提升，以特权身份执行恶意代码。

二、风险等级：
           高危
三、影响范围：
        5.6.0 <= Spring Security <= 5.6.8
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://tanzu.vmware.com/security/cve-2022-31692

---

2Microsoft Windows Server Service远程代码执行漏洞（CVE-2022-24541）
一、漏洞描述：     
       
        Microsoft Windows是美国微软（Microsoft）公司的一种桌面操作系统。
        Microsoft Windows Server Service存在远程代码执行漏洞。该漏洞是由于服务器服务组件中的缺陷引起的。攻击者可利用该漏洞在系统上执行任意代码。
二、风险等级：
          高危
三、影响范围：
        Microsoft Windows Server 2012 R2
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://msrc.microsoft.com/updat ... lity/CVE-2022-24541

---

3Microsoft Windows Remote Desktop Protocol远程代码执行漏洞（CVE-2022-24533）
一、漏洞描述：     
       
        Microsoft Windows Remote Desktop Protocol（RDP）是美国微软（Microsoft）公司的一款用于连接远程Windows桌面的应用。
        Microsoft Windows Remote Desktop Protocol存在远程代码执行漏洞。该漏洞源于外部输入数据构造代码段的过程中，网络系统或产品未能正确过滤其中的特殊元素。攻击者可利用该漏洞在系统上执行任意代码。
二、风险等级：
          高危
三、影响范围：
        Microsoft Windows Server 2012 R2
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://msrc.microsoft.com/updat ... lity/CVE-2022-24533

---

4Microsoft Windows Network File System远程代码执行漏洞(CVE-2022-24497)
一、漏洞描述：     
       
        Microsoft Windows Network File System是美国微软（Microsoft）公司的一种文件共享解决方案，可让您使用 NFS 协议在运行 Windows Server 和 UNIX 操作系统的计算机之间传输文件。
        Microsoft Windows Network File System存在远程代码执行漏洞，该漏洞是由于网络文件系统组件中的缺陷引起的。攻击者可利用该漏洞在系统上执行任意代码。
二、风险等级：
           高危
三、影响范围：
        Microsoft Windows Server 2012 R2
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://msrc.microsoft.com/updat ... lity/CVE-2022-24497