安全通报

重大的网络攻击、系统漏洞、应用风险的安全问题，分享解决方法。

OpenSSL远程代码执行漏洞(CVE-2022-1292)

OpenSSL存在远程代码执行漏洞，该漏洞源于c_rehash脚本未正确清理shell元字符，攻击者利用该漏洞执行任意命令。

Active Directory 存在权限提升漏洞，经过身份验证的攻击者可以操纵他们拥有或管理的计算机帐户的属性，并从AD证书服务获取允许提升权限的证书。

Oracle MySQL Cluster存在输入验证错误漏洞，攻击者可利用漏洞执行任意代码。

FortiWeb存在操作系统命令注入漏洞，攻击者可以利用该漏洞通过特制的HTTP请求执行未经授权的代码或命令。

Apache Log4j2存在远程代码执行漏洞，攻击者可利用该漏洞向目标服务器发送精心构造的恶意数据，触发Log4j2组件解析缺陷，实现目标服务器的任意代码执行，获得目标服务器权限。

GitLab Community Edition存在信息泄露漏洞，具有本地文件系统访问权限的攻击者可利用该漏洞获取系统root级别权限。

如果Docker.command方法的command参数至少可以由用户部分控制，攻击者可利用该漏洞能够在主机系统上执行任意操作系统命令。

VMware vCenter Server存在代码执行漏洞，通过身份验证的远程VAMI攻击者可向TCP端口5480发送一个特别设计的请求，并在目标系统上执行任意代码。

MySQL Server 8.0.25及更早版本中的Server：Optimizer组件存在拒绝服务漏洞，攻击者可利用该漏洞导致MySQL服务器挂起或频繁重复崩溃。

Apache Dubbo是一款微服务开发框架，提供RPC通信与微服务治理两大关键能力，2.7.12版本存在命令执行漏洞，攻击者可利用该漏洞获取服务器控制权。