產品安全漏洞(20220110-20220116)

一、境外廠商產品漏洞

1、Adobe Dimension越界讀取漏洞（CNVD-2022-02631）

Adobe Dimension是美國Adobe公司的是一套2D和3D合成設計工具。Adobe Dimension存在越界讀取漏洞，攻擊者可利用該漏洞導致敏感內存泄露。

參考鏈接：https://www.cnvd.org.cn/flaw/show/CNVD-2022-02631

2、Google Chrome資源管理錯誤漏洞（CNVD-2022-02627）

Google Chrome是美國谷歌（Google）公司的一款Web瀏覽器。Google Chrome存在資源管理錯誤漏洞，攻擊者可利用該漏洞說服用戶安裝惡意擴展程序，從而通過精心設計的Chrome擴展程序潛在地利用堆損壞。

參考鏈接：https://www.cnvd.org.cn/flaw/show/CNVD-2022-02627

3、Apache HTTP Server拒絕服務漏洞（CNVD-2022-03205）

Apache HTTP

Server是美國阿帕奇（Apache）基金會的一款開源網頁服務器。該服務器具有快速、可靠且可通過簡單的API進行擴充的特點。Apache
HTTP
Server在2.4.30至2.4.48版本存在拒絕服務漏洞，該漏洞源于網絡系統或產品未對輸入的數據進行正確的驗證。攻擊者可利用該漏洞通過精心編制的請求uri路徑可能導致mod_proxy_uwsgi讀取分配的內存并崩潰。

參考鏈接：https://www.cnvd.org.cn/flaw/show/CNVD-2022-03205

4、Wireshark輸入驗證錯誤漏洞

Wireshark（前稱Ethereal）是Wireshark團隊的一套網絡數據包分析軟件。該軟件的功能是截取網絡數據包，并顯示出詳細的數據以供分析。Gryphon

dissector是其中的一個Gryphon協議解析器。Wireshark中存在輸入驗證錯誤漏洞，該漏洞源于產品未對Kafka報文進行有效處理。攻擊者可通過該漏洞導致拒絕服務。

參考鏈接：https://www.cnvd.org.cn/flaw/show/CNVD-2022-02726

5、Adobe Prelude內存損壞漏洞

Adobe Prelude是美國奧多比（Adobe）公司的一套視頻素材編輯剪輯工具。該產品能夠對視頻素材進行剪輯、排序和注釋等。Adobe Prelude存在內存損壞漏洞，攻擊者可利用該漏洞在當前用戶的上下文中執行任意代碼。

參考鏈接：https://www.cnvd.org.cn/flaw/show/CNVD-2022-02638

二、境內廠商產品漏洞

1、Realtek RTL8195AM緩沖區溢出漏洞

Realtek RTL8195AM是中國臺灣瑞昱半導體（Realtek）公司的一款物聯網微控制器。Realtek RTL8195AM
2.0.10之前版本存在緩沖區溢出漏洞，該漏洞源于軟件當中對于大長度文本缺少有效處理，導致堆棧緩沖區溢出，攻擊者可利用該漏洞發送大尺寸的Authentication
challenge文本，實現針對客戶端的漏洞利用。

參考鏈接：https://www.cnvd.org.cn/flaw/show/CNVD-2022-02732

2、DamiCMS跨站請求偽造漏洞（CNVD-2022-02728）

DamiCMS是一套用于快速搭建網站的內容管理系統（CMS）。DamiCMS
v6.0版本存在安全漏洞，該漏洞源于/damicms-master/admin.php?s=/Article/doedit
缺少對于cookie的保護，攻擊者可利用該漏洞通過獲取用戶的會話 cookie來破壞和冒充用戶帳戶。

參考鏈接：https://www.cnvd.org.cn/flaw/show/CNVD-2022-02728

3、Qibosoft跨站請求偽造漏洞（CNVD-2022-02758）

Qibosoft qibosoft是中國齊博軟件（Qibosoft）公司的一套內容管理系統（CMS）。Qibosoft存在跨站請求偽造漏洞，攻擊者可利用該漏洞任意添加管理員帳戶。

參考鏈接：https://www.cnvd.org.cn/flaw/show/CNVD-2022-02758

4、HongCMS訪問控制錯誤漏洞

HongCMS是一套開源的輕量級內容管理系統（CMS）。HongCMS中存在訪問控制錯誤漏洞，該漏洞源于產品未對/admin/index.php/template/edit頁面添加有效的權限控制。攻擊者可通過該漏洞導致任意文件讀寫。

參考鏈接：https://www.cnvd.org.cn/flaw/show/CNVD-2022-02741

5、ZZCMS訪問控制錯誤漏洞

ZZCMS是中國Zzcms團隊的一套內容管理系統（CMS）。ZZCMS 存在訪問控制錯誤漏洞，該漏洞源于通過admin.php在zzcms中存在一個錯誤的訪問控制漏洞，攻擊者可利用此漏洞禁用JavaScript后直接訪問管理員控制臺。

參考鏈接：https://www.cnvd.org.cn/flaw/show/CNVD-2022-02737

說明：關注度分析由CNVD秘書處根據互聯網用戶對CNVD漏洞信息查閱情況以及產品應用廣泛情況綜合評定。