雷神众测漏洞周报2021.08.02-2021.08.08-4
声明
以下内容，均摘自于互联网，由于传播，利用此文所提供的信息而造成的任何直接或间接的后果和损失，均由使用者本人负责，雷神众测以及文章作者不承担任何责任。
雷神众测拥有该文章的修改和解释权。如欲转载或传播此文章，必须保证此文章的副本，包括版权声明等全部内容。声明雷神众测允许，不得任意修改或增减此文章内容，不得以任何方式将其用于商业目的。
目录
1. VMware 多款产品 SSRF漏洞
2. Microsoft Exchange 远程代码执行漏洞
3. 泛微OA E-office存在任意文件写入漏洞
4. 北京中远麒麟科技有限公司运维审计系统存在命令执行漏洞
漏洞详情
1.VMware 多款产品 SSRF漏洞
漏洞介绍：
Workspace One Access 是 Vmware 公司的一个用于支持跨设备应用于快速交付、管理应用程序的平台。VMware Identity Manager 是一款可提供应用调配、自助服务目录、为SaaS、Web、云计算和原生移动应用提供单点登录 (SSO) 等功能的“身份认证即服务”(IDaaS) 产品。
漏洞危害：
未经身份验证的攻击者可通过网络篡改主机标头以访问 /cfg Web 应用；此外，恶意行为者还可以在未经身份验证的情况下访问 /cfg 诊断端点。
漏洞编号：
CVE-2021-22002
影响范围：
VMware Workspace ONE Access 20.10.0.1
VMware Workspace ONE Access 20.10
VMware Workspace ONE Access 20.01
VMware Identity Manager 3.3.5
VMware Identity Manager 3.3.4
VMware Identity Manager 3.3.3
VMware Identity Manager 3.3.2
vRealize Automation (embedded vIDM) 7.6
修复方案：
及时测试并升级到最新版本或升级版本
来源: NOSEC
2. Microsoft Exchange 远程代码执行漏洞
漏洞介绍：
Microsoft Exchange Server 是微软公司的一套电子邮件服务组件。
漏洞危害：
2021年8月5日，安全研究员在国外安全会议上公开了CVE-2021-34473 Microsoft Exchange Server 远程代码执行漏洞分析及其POC。攻击者利用该漏洞可绕过相关权限验证，进而配合其他漏洞可执行任意代码，控制Microsoft Exchange Server。
漏洞编号：
CVE-2021-34473
影响范围：
Microsoft Exchange Server 2010
Microsoft Exchange Server 2013
Microsoft Exchange Server 2016
Microsoft Exchange Server 2019
修复建议：
及时测试并升级到最新版本或升级版本
来源：阿里云应急响应
3. 泛微OA E-office存在任意文件写入漏洞
漏洞介绍：
泛微OA E-office系统是面向中小型组织的专业协同OA软件，国内协同OA办公领域领导品牌，致力于为企业用户提供专业OA办公系统、移动OA应用等协同OA整体解决方案。
漏洞危害：
泛微OA E-office存在任意文件写入漏洞，攻击者可利用该漏洞获取服务器控制权限。
影响范围：
上海泛微网络科技股份有限公司 泛微OA E-office V10.0
修复建议：
及时测试并升级到最新版本或升级版本
来源：CNVD
4. 北京中远麒麟科技有限公司运维审计系统存在命令执行漏洞
漏洞介绍：
北京中远麒麟科技有限公司是一个以研发为主的软件开发公司，公司主要产品为中远麒麟堡垒机、麒麟SSL VPN、麒麟动态口令系统、麒麟云桌面等。
漏洞危害：
北京中远麒麟科技有限公司运维审计系统存在命令执行漏洞，攻击者可利用该漏洞获取服务器控制权。
影响范围：
北京中远麒麟科技有限公司 运维审计系统
修复建议：
及时测试并升级到最新版本
来源：CNVD
专注渗透测试技术
全球最新网络攻击技术