OSCS开源安全周报第7期：本周投毒对象均为 NPM 仓库

本周安全态势综述

OSCS社区共收录安全漏洞33个，公开漏洞值得关注的是Apache Flume 存在JNDI注入漏洞（CVE-2022-34916），Apache Airflow Docker Provider <3.0 存在远程代码执行漏洞（CVE-2022-38362）和Apache ActiveMQ Artemis 存在 HTML 注入漏洞（CVE-2022-35278）。

针对 NPM 仓库，共监测到 5 次投毒事件，涉及 36 个不同版本的 NPM 组件，投毒组件中绝大多数行为是尝试获取主机敏感信息。

重要安全漏洞列表

1. Apache Flume 存在 JNDI 注入漏洞（CVE-2022-34916）

Apache Flume 是一种分布式、可靠且可用的服务，用于高效收集、聚合和移动大量日志数据。

Apache Flume 的漏洞版本中由于配置不当存在JNDI注入漏洞，攻击者可以利用此漏洞进行远程代码执行。

参考链接：https://www.oscs1024.com/hd/M...

2. Apache Airflow Docker Provider <3.0 存在远程代码执行漏洞（CVE-2022-38362）

Apache Airflow Docker 是一个用于创建、管理和监控工作流程的开源平台。

在受影响版本中存在远程命令执行漏洞。

攻击者可利用该漏洞获取隐私数据，甚至接管服务器。

参考链接：https://www.oscs1024.com/hd/M...

3. Apache ActiveMQ Artemis 存在 HTML 注入漏洞（CVE-2022-35278）。

Apache ActiveMQ是一个用 Java 编写的开源消息代理以及完整的Java 消息服务(JMS) 客户端。

Apache ActiveMQ Artemis的漏洞版本存在HTML注入漏洞。

攻击者可以通过在地址或队列名称中使用 HTML来显示恶意内容或将用户请求重定向到 Web 控制台中的恶意 URL。

参考链接：https://www.oscs1024.com/hd/M...

投毒风险监测

OSCS针对 NPM 仓库监测的恶意组件数量如下所示，其中 NPM 仓库仍旧是主要投毒对象。

• 本周新发现 36 个不同版本的恶意组件，其中
• • 100%的投毒组件为：获取主机敏感信息（获取了主机的用户名、IP 等敏感信息）

其他资讯

微软员工在 github 暴露了自己公司的内部登录信息

https://www.vice.com/en/article/m7gb43/microsoft-employees-exposed-login-credentials-azure-github

情报订阅

OSCS(开源软件供应链安全社区)通过最快、最全的方式，发布开源项目最新的安全风险动态，包括开源组件安全漏洞、事件等信息。同时提供漏洞、投毒情报的免费订阅服务，社区用户可通过配置飞书、钉钉、企业微信机器人，及时获得一手情报信息推送：

https://www.oscs1024.com/?src=sf

具体订阅方式详见：

https://www.oscs1024.com/docs/vuln-warning/intro/?src=sf