服务器、存储、网络产品购买热线:400-860-6708 ERP、管理软件购买热线:400-018-7700云服务产品销售热线:400-607-6657
产品安全 > 安全预警
类型
漏洞信息快速查询
安全预警
发布日期: 2021-09-13 10:37:31
预警编号:INSPUR-SA-202109-001
漏洞描述:

2021.6.8,英特尔2021.1 IPU中公布了某些处理器中潜在的安全漏洞,这些漏洞可能导致信息泄露或权限提升。漏洞详细信息如下:
Intel-TA-00463:CVE-2020-8670 CVE-2020-8700 CVE-2020-12359 CVE-2020-12358 CVE-2021-0095 CVE-2020-12360 CVE-2020-24486
某些Intel处理器的BIOS固件中存在潜在的安全漏洞可能允许提升权限或拒绝服务。
Intel-TA-00464:CVE-2020-24511 CVE-2020-24512
某些英特尔处理器中的潜在安全漏洞可能会导致信息泄漏。
Intel-TA-00465:CVE-2020-24513
某些英特尔Atom处理器中的潜在安全漏洞可能会导致信息泄漏。
Intel-TA-00459:CVE-2020-24509
英特尔服务器平台服务(SPS)部分版本中因控制流管理不足,可能允许拥有一定权限的攻击者通过本地攻击提升权限。
Intel-TA-00500:CVE-2021-0051
英特尔服务器平台服务(SPS)中的因输入验证不正确,可能允许一定权限的攻击者通过本地访问导致拒绝服务。


安全预警
发布日期: 2021-08-27 09:42:52
预警编号:INSPUR-SA-202108-003
漏洞描述:

Qualys 研究人员在 systemd中发现一个堆栈耗尽拒绝服务漏洞CVE-2021-33910,这是一种在主要linux操作系统上几乎无处不在的实用程序,任何非特权用户都可以利用此漏洞使systemd崩溃,从而使整个操作系统崩溃(内核崩溃)


安全预警
发布日期: 2021-08-27 09:50:57
预警编号:INSPUR-SA-202108-002
漏洞描述:

Qualys 研究人员在 Linux kernel 中发现一个本地权限提升漏洞 Sequoia,该漏洞是 Linux kernel 文件系统层中的 size_t-to-int 类型转化漏洞。漏洞 CVE 编号为 CVE-2021-33909,攻击者利用该漏洞可以在大多数 Linux 发行版上获得 root 权限。


安全预警
发布日期: 2021-08-27 09:55:56
预警编号:INSPUR-SA-202108-001
漏洞描述:

Linux 内核模块Netfilter中存在一处权限提升漏洞CVE-2021-22555,攻击者可以通过该漏洞实现权限提升,以及从docker、k8s容器中实施容器逃逸。


安全预警
发布日期: 2021-06-24 15:45:03
预警编号:INSPUR-SA-202106-001
漏洞描述:

近期Runc发布符号链接交换攻击漏洞CVE-2021-30465,攻击者通过创建恶意POD及container,利用符号链接以及条件竞争漏洞,可挂载宿主机目录至 container 中,并最终可能导致容器逃逸。


安全预警
发布日期: 2021-06-18 16:26:29
预警编号:INSPUR-SA-202104-001
漏洞描述:

ClusterEngine V4.0由于输入参数校验不正确,导致攻击者可以通过发送特殊构造的报文利用该漏洞远程执行命令、绕过系统登录等。具体包括
1、 ClusterEngineV4.0 /sysShell、/alarmConfig等接口任意命令执行
2、 ClusterEngineV4.0 Web端任意用户名密码登陆


安全预警
发布日期: 2021-03-23 09:22:19
预警编号:INSPUR-SA-202103-001
漏洞描述:

CVE-2021-25281
salt-api未校验wheel_async客户端的eauth凭据,受此漏洞影响攻击者可远程调用master上任意wheel模块。
CVE-2021-25282
salt.wheel.pillar_roots.write 方法存在目录穿越漏洞。
CVE-2021-25283
内置Jinja渲染引擎存在SSTI(Server Side Template Injection,服务端模板注入)漏洞。
CVE-2021-25284
webutils将明文密码写入/var/log/salt/minionSalt。默认配置中不存在此问题。
CVE-2021-3197
Salt-API的SSH客户端容易受到Shell注入的攻击,方法是在参数中包含ProxyCommand或通过API请求中提供的ssh_options。此模块在默认情况下未运行。
CVE-2021-3148
salt.utils.thin.gen_thin() 中存在命令注入。通过SaltAPI,从格式化的字符串构造命令,如果 extra_mods 中有单引号,则可以将命令截断,因为json.dumps() 会转义双引号,同时保持单引号不变。
CVE-2020-35662
默认情况下,Salt存在不验证SSL证书的几个地方。
CVE-2021-3144
eauth令牌在过期后仍可以使用一次。
CVE-2020-28972
缺少对SSL证书的验证,代码库无法验证服务器的SSL/TLS证书,这可能使攻击者可以通过中间人攻击获取敏感信息。
CVE-2020-28243
Minion中的本地特权提升漏洞,当无特权的用户能够通过进程名称中的命令注入而能够在任何未列入黑名单的目录中创建文件时,SaltStack的Minion可以进行特权升级。


安全预警
发布日期: 2021-03-25 15:17:10
预警编号:INSPUR-SA-202102-002
漏洞描述:

1月26日,Sudo发布安全通告,修复了安全漏洞CVE-2021-3156。在sudo解析命令行参数时存在基于堆的缓冲区溢出。本地用户无需进行身份验证即可利用此漏洞获得root权限。


安全预警
发布日期: 2021-03-02 10:29:16
预警编号:INSPUR-SA-202102-001
漏洞描述:

2020.11.10,英特尔公布了某些处理器中潜在的安全漏洞,这些漏洞可能导致信息泄露或权限提升。漏洞详细信息如下:
INTEL-SA-00381:某些英特尔处理器中的潜在安全漏洞可能会导致信息泄漏。
INTEL-SA-00358:某些英特尔处理器BIOS固件中的潜在安全漏洞可能允许权限提升或拒绝服务。
INTEL-SA-00391:英特尔服务器平台服务(SPS)中的潜在安全漏洞可能允许提升权限、拒绝服务或信息披露。
INTEL-SA-00389:Intel Running Average Power Limit(RAPL)接口中的潜在安全漏洞可能允许信息泄漏。


安全预警
发布日期: 2021-02-03 10:27:11
预警编号:INSPUR-SA-202101-001
漏洞描述:

2021年01月19日,以色列安全咨询公司JSOF披露了7个Dnsmasq漏洞,该批漏洞被命名为DNSpooq。漏洞编号分别为:CVE-2020-25681,CVE-2020-25682,CVE-2020-25683,CVE-2020-25684,CVE-2020-25685,CVE-2020-25686,CVE-2020-25687。
CVE-2020-25681:
启用DNSSEC时,Dnsmasq 2.83之前的版本sort_rrset()存在基于堆的缓冲区溢出,其CVSS评分8.1。远程攻击者可利用此漏洞将任意数据写入目标设备的内存中,可能导致目标设备上的内存损坏和其它意外行为。
CVE-2020-25682
启用DNSSEC时,Dnsmasq 2.83之前的版本extract_name函数由于缺少长度检查,导致缓冲区溢出,其CVSS评分8.1。远程攻击者可利用此漏洞在目标设备上造成内存损坏。
CVE-2020-25683
启用DNSSEC时,Dnsmasq 2.83之前的版本rfc1035.c:extract_name()中缺少长度检查,出现基于堆的缓冲区溢出,其CVSS评分5.9。远程攻击者可以利用此漏洞在堆分配的内存中引起溢出,并且可以通过滥用长度检查来导致 dnsmasq 崩溃,最终造成拒绝服务。
CVE-2020-25687
启用DNSSEC时,Dnsmasq 2.83之前的版本rfc1035.c:extract_name()中缺少长度检查,出现基于堆的缓冲区溢出,其CVSS评分5.9。远程攻击者可以利用此漏洞在堆分配的内存中引起溢出,并且可以通过滥用长度检查来导致 dnsmasq 崩溃,最终造成拒绝服务。
CVE-2020-25684
Dnsmasq 2.83之前版本reply_query函数,缺乏适当address/port检查,这导致reply_query函数更容易伪造回复给路径外的攻击者。
CVE-2020-25685
dnsmasq 2.83之前的版本reply_query函数,缺乏查询资源名(RRNAME)检查,允许远程攻击者欺骗DNS流量,从而导致DNS缓存中毒。
CVE-2020-25686
Dnsmasq2.83之前版本,未检查是否存在相同名称的待处理请求,而是转发新请求,从而使攻击者可以执行“Birthday Attack” (RFC 5452) 来欺骗DNS流量,从而导致DNS缓存中毒。


总记录数:27,每页显示10条记录,当前页: 1 /3
跳转至

关于浪潮

集团简介 企业文化 加入我们 联系我们 关注我们

新闻与活动

新闻公告 市场活动 科技战“疫”

如何购买

需求工单 售前咨询 查找经销商

探索浪潮

通用服务器 存储 人工智能 爱城市网 浪潮云 浪潮云ERP

支持与服务

支持下载 视频中心 服务进度查询 产品生命周期 安全通告 OS兼容性查询工具

快速链接

合作伙伴生态 电子采购平台 投行项目 投资者关系 道德遵从

在社交媒体上关注我们

拨打咨询电话