OSCS开源安全周报第6期：本周投毒事件量相比攻防演练周明显下降

本周安全态势综述

OSCS社区共收录安全漏洞48个，其中两个独家漏洞，公开漏洞值得关注的是Adobe Premiere Elements 权限提升漏洞（CVE-2022-34235），Apache Traffic Server 请求走私漏洞（CVE-2022-31780）和 Zammad 权限提升漏洞（CVE-2022-35490）。

针对NPM、Python仓库，共监测到 5 次投毒事件，涉及 81 个不同版本的NPM、Python组件，投毒组件中绝大多数行为是尝试获取主机敏感信息。

重要安全漏洞列表

1、Adobe Premiere Elements 权限提升漏洞（CVE-2022-34235）

Adobe Premiere Elements 是 Adobe Systems 发布的视频编辑软件应用程序。

Adobe Premiere Elements 2020v20及更早版本，由于对搜索路径元素校验不完全，导致普通用户可能获取管理员权限。

参考链接：https://www.oscs1024.com/hd/MPS-2022-19550

2、Apache Traffic Server 请求走私漏洞（CVE-2022-31780）

Apache Traffic Server (ATS) 是一个模块化、高性能的反向代理和正向代理服务器。

在Apache Traffic Server 的 HTTP/2 帧处理中存在不当输入验证漏洞，导致攻击者可造成http请求走私。

参考链接：https://www.oscs1024.com/hd/MPS-2022-16690

3、Zammad 权限提升漏洞（CVE-2022-35490）

Zammad是一个基于 Web 的用户支持/票务解决方案。

Zammad 5.2.0 版本中存在权限提升漏洞。经过可配置的尝试次数后，用户将失效并阻止登录。攻击者可以在用户失效发生之前发送超过配置数量的请求来枚举，从而达到提升用户权限的目的。

参考链接：https://www.oscs1024.com/hd/MPS-2022-50916

投毒风险监测

OSCS针对 NPM、Python 仓库监测的恶意组件数量如下所示，平均每天监控发现11个恶意包，其中 NPM 仓库仍旧是主要投毒对象，Python 仓库恶意组件数量相比之前有所下降。

  

本周新发现 81 个不同版本的恶意组件，其中

• 99%的投毒组件为：获取主机敏感信息（获取了主机的用户名、IP 等敏感信息）

• 1%的投毒组件为：获取主机权限（窃取 通过反射 shell 连接用户主机）

其他资讯

软件供应链通过新的加密努力赢得了安全胜利

https://www.darkreading.com/application-security/software-supply-chain-chalks-up-security-win-with-crypto-effort

情报订阅

OSCS(开源软件供应链安全社区)通过最快、最全的方式，发布开源项目最新的安全风险动态，包括开源组件安全漏洞、事件等信息。同时提供漏洞、投毒情报的免费订阅服务，社区用户可通过配置飞书、钉钉、企业微信机器人，及时获得一手情报信息推送：

https://www.oscs1024.com/?src=csdn

具体订阅方式详见：

https://www.oscs1024.com/docs/vuln-warning/intro/?src=csdn