OSCS开源安全周报第11期：本月微软补丁日修复 vscode 漏洞，请开发者留意自己使用的 vscode 是否受该漏洞影响

本周安全态势综述

OSCS 社区共收录安全漏洞27个，公开漏洞值得关注的是 golang net/url 路径穿越漏洞（CVE-2022-32190），Visual Studio Code <1.71.1 权限提升漏洞（CVE-2022-38020），gophish/gophish < 0.12.0 存在打开重定向漏洞（CVE-2022-25295）。

针对 NPM 、PyPI仓库，共监测到 4 次投毒事件，涉及 92 个不同版本的 NPM 、PyPI组件，投毒组件中绝大多数行为是尝试获取主机敏感信息。

重要安全漏洞列表

1. golang net/url 路径穿越漏洞（CVE-2022-32190）

golang 的组件net/url实现了URL的解析处理和查询转义。

golang net/ur存在路径穿越漏洞，漏洞源于 net/url 的 JoinPath 函数不会删除附加的相对路径中的 ../ 元素，攻击者可能利用该漏洞访问系统敏感文件。

参考链接：https://www.oscs1024.com/hd/MPS-2022-17132

2. Visual Studio Code <1.71.1 权限提升漏洞（CVE-2022-38020）

Visual Studio Code是一款代码编辑器。

Visual Studio Code v1.71.0 及更早版本中存在权限提升漏洞，漏洞源于Visual Studio Code加载配置文件时会自动加载windows共享用户在特殊目录创建的文件bash.exe。

在 Windows 上，低特权攻击者可以在特殊路径创建并覆盖bash.exe。Visual Studio Code检测到的配置文件会显示在终端配置文件列表中，可能导致恶意文件执行。

参考链接：https://www.oscs1024.com/hd/MPS-2022-53948

3. gophish/gophish < 0.12.0 存在打开重定向漏洞（CVE-2022-25295）

Gophish 是一个为企业和渗透测试人员设计的开源网络钓鱼工具包。

此软件包的受影响版本容易受到 Open Redirect 的攻击。next查询参数中存在 Open Redirect 漏洞。应用程序用于url.Parse(r.FormValue("next"))提取路径并最终将用户重定向到相对 URL。

攻击者可能会成功发起网络钓鱼诈骗并窃取用户凭据。

参考链接：https://www.oscs1024.com/hd/MPS-2022-4362

*查看漏洞详情页，支持免费检测项目中使用了哪些有缺陷的第三方组件

投毒风险监测

OSCS针对 NPM 、PyPI仓库监测的恶意组件数量如下所示。

本周新发现 92 个不同版本的恶意组件，其中

• 100%的投毒组件为：获取主机敏感信息（获取了主机的用户名、IP 等敏感信息发送给恶意服务器）

其他资讯

黑客入侵 Magento 供应链攻击的软件供应商

https://www.bleepingcomputer....

    

情报订阅

OSCS(开源软件供应链安全社区)通过最快、最全的方式，发布开源项目最新的安全风险动态，包括开源组件安全漏洞、事件等信息。同时提供漏洞、投毒情报的免费订阅服务，社区用户可通过配置飞书、钉钉、企业微信机器人，及时获得一手情报信息推送：

https://www.oscs1024.com/?src=sf

具体订阅方式详见：

https://www.oscs1024.com/docs/vuln-warning/intro/?src=sf