漏洞风险提示（20221202）

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。

---

1 IBM QRadar SIEM访问控制错误漏洞（CVE-2021-29755）
一、漏洞描述：     
       
        IBM QRadar SIEM是美国IBM公司的一套利用安全智能保护资产和信息远离高级威胁的解决方案。该方案提供对整个IT架构范围进行监督、生成详细的数据访问和用户活动报告等功能。
        IBM QRadar SIEM存在访问控制错误漏洞，该漏洞源于未能对某些主机间通信执行正确的证书验证。攻击者可利用该漏洞绕过证书验证。
二、风险等级：
           高危
三、影响范围：
        IBM QRadar SIEM 7.3
        IBM QRadar SIEM 7.4
        IBM QRadar SIEM 7.5
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://www.ibm.com/support/pages/node/6605431

---

2 Apache Heron注入漏洞（CVE-2021-42010）
一、漏洞描述：     
       
        Apache Heron是一款分布式、具有容错功能的实时流处理引擎。
        Heron存在注入漏洞，该漏洞源于其在日志语句中缺少转义，攻击者可利用该漏洞实现CRLF日志注入。
二、风险等级：
           高危
三、影响范围：
        Apache Heron <0.20.5-incubating
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://lists.apache.org/thread/j65nwr8n7jchngwqptzh100drcr4ry2q

---

3 IBM DataPower Gateway跨站点请求伪造漏洞（CVE-2022-31773）
一、漏洞描述：     
       
        IBM DataPower Gateway是美国IBM公司的一套专门为移动、云、应用编程接口（API）、网络、面向服务架构（SOA）、B2B和云工作负载而设计的安全和集成平台。该平台可利用专用网关平台跨渠道保护、集成和优化访问。
        IBM DataPower Gateway V10CD版本、10.0.1版本、2018.4.1版本存在跨站点请求伪造漏洞，该漏洞源于WEB应用未充分验证请求是否来自可信用户。攻击者可利用该漏洞伪造恶意请求诱骗受害者点击执行敏感操作。
二、风险等级：
           高危
三、影响范围：
        IBM DataPower Gateway V10CD
        IBM DataPower Gateway 10.0.1
        IBM DataPower Gateway 2018.4.1
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://www.ibm.com/support/pages/node/6615307

---

4 Apache Hama路径遍历漏洞（CVE-2022-45470）
一、漏洞描述：     
       
        Apache Hama是美国阿帕奇（Apache）公司的一个基于批量同步并行计算技术的分布式计算框架。用于大规模科学计算，例如矩阵，图形和网络算法。
        Apache Hama存在路径遍历漏洞，该漏洞源于网络系统或产品未能正确地过滤资源或文件路径中的特殊元素。攻击者可利用该漏洞通过路径遍历导致信息泄露。
二、风险等级：
           高危
三、影响范围：
        Apache hama <=1.7.1
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://lists.apache.org/thread/ztvoshd4kxvp5vlro52mpgpfxct4ft8l