三方检测-服务及服务器扫描问题及处理方案

省流

（1）所有中间件、软件，在部署的时候必须增加账号密码限制，且密码不能为弱密码
（2）所有中间件、软件，在部署前，一定要更新到最新的小版本，不要用旧的小版本部署
（3）各类软件提前准备好相关配置

具体问题

JAVA JMX相关

JAVA JMX agent不安全的配置漏洞【原理扫描】

详细描述

在远程主机上运行的Java JMX代理被配置为没有SSL客户端和密码认证。一个未经认证的远程攻击者可以连接到JMX代理，并监视和管理启用了该代理的Java应用程序。

此外，这种不安全的配置可以让攻击者创建一个javax.management.loading.MLet MBean，并使用它从任意的URL创建新的MBean，至少在没有安全管理器的情况下。换句话说，攻击者可以在远程主机上根据远程Java VM的安全上下文执行任意代码。

解决办法

正确配置JMX服务：
1.开启认证
2.限制访问IP

Java JMX 未授权访问漏洞【原理扫描】

详细描述

Java Management Extensions（JMX）是Java平台的一种管理和监控扩展，允许应用程序和系统在运行时进行管理和监控。JMX支持两种连接方式：本地连接和远程连接。本地连接是指在运行JMX代理的本地机器上进行连接，而远程连接则是允许通过网络从其他计算机连接到JMX代理。

默认情况下，JMX代理在Java进程中启用了远程连接功能，并且没有进行适当的安全配置。这就意味着攻击者可以通过远程连接的方式，直接访问Java应用程序的JMX代理，而无需进行任何认证授权。攻击者可以连接并执行一些敏感或危险的操作，例如：

1. 获取敏感信息：攻击者可以通过JMX代理获取目标应用程序的运行时信息，包括内存使用情况、线程堆栈信息、配置参数等。
2. 修改运行时参数：攻击者可能会修改应用程序的运行时参数，导致应用程序行为异常，甚至拒绝服务。
3. 执行代码：如果攻击者获得了足够的权限，他们可能会通过JMX代理执行任意Java代码，这可能导致系统被入侵或者远程控制。
4. 拒绝服务攻击：攻击者可以通过远程连接，大量请求目标应用程序的JMX代理，导致系统资源耗尽，造成拒绝服务情况。

解决办法

该漏洞属于配置不当漏洞，无法通过更新软件的方法进行修复，下面是几种安全的配置方法：

1. 禁用远程JMX访问：在生产环境中，应该禁止远程JMX访问，以防止未授权的外部连接。只允许本地连接是一个比较安全的做法。
2. 配置JMX认证和授权：通过配置JMX访问控制，要求用户进行身份验证，并根据需要授予相应的权限。可以使用标准Java认证方法，如用户名/密码或者证书来进行认证。
3. 使用防火墙限制访问：在服务器上设置防火墙规则，只允许特定IP地址或IP地址段连接到JMX端口。
4. 修改JMX远程端口：如果不需要远程连接，可以修改JMX的远程连接端口，避免默认端口被攻击者扫描到。

Nginx相关

nginx 缓冲区错误漏洞(CVE-2022-41741)

详细描述

此插件基于版本检测，有可能误报，未开启 MP4 模块的nginx属于误报，请忽略该漏洞。
Nginx是美国Nginx公司的一款轻量级Web服务器/反向代理服务器及电子邮件（IMAP/POP3）代理服务器。
Nginx在 ngx_http_mp4_module 中存在漏洞，这可能允许攻击者激发 worker 进程的崩溃，或者通过使用特制的 mp4 文件致使 worker 进程出现内存泄露。该问题仅影响启用了 ngx_http_mp4_module 模块（默认不启用）并在配置文件中使用 .mp4 指令的 NGINX。此外，只有当攻击者能够触发使用 ngx_http_mp4_module 对特制 mp4 文件的进行处理时，攻击才有可能成功。

https://mailman.nginx.org/pipermail/nginx-announce/2022/RBRRON6PYBJJM2XIAPQBFBVLR4Q6IHRA.html

解决方案

缓解措施：只允许受信用户发布音频和视频文件，或者在 NGINX 配置中禁用 MP4 模块，直到升级至修复版本。

厂商补丁:
目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
http://nginx.org/download/patch.2022.mp4.txt

nginx 越界写入漏洞（CVE-2022-41742）

详细描述

此插件基于版本检测，有可能误报。
Nginx是美国Nginx公司的一款轻量级Web服务器/反向代理服务器及电子邮件（IMAP/POP3）代理服务器。
Nginx Plus 的模块 ngx_http_hls_module 中存在一个漏洞，该漏洞可能允许本地攻击者破坏 NGINX 的工作进程内存，从而导致其崩溃或在使用特制的音频或视频文件时产生其他潜在的影响。只有当配置文件中使用 hls 指令时，该问题才会影响 Nginx Plus。
此外，只有当攻击者可以触发使用模块 ngx_http_hls_module 对特制音频或视频文件进行 处理时，攻击才有可能成功。一次成功的利用可能允许一个本地攻击者破坏 NGINX 的 worker 进程，导致其中止或其他潜在的影响。

https://mailman.nginx.org/pipermail/nginx-announce/2022/RBRRON6PYBJJM2XIAPQBFBVLR4Q6IHRA.html

解决方案

缓解措施：只允许受信用户发布音频和视频文件。或者在 NGINX 配置中禁用 HLS 模块，直到升级至修复版本，可缓解此风险。

厂商补丁:
目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
http://nginx.org/download/patch.2022.mp4.txt

未授权相关

详细描述

这部分内容，都是软件未增加账号密码限制，使服务器可直接进行登录，所以在服务搭建时，中间件一定要增加账号密码限制，且账号密码不能为弱密码。

比如MongDB、Elasticsearch、Redis等

其他

Swagger API 未授权访问漏洞【原理扫描】

详细描述

Swagger 是一个规范和完整的框架，用于生成、描述、调用和可视化 RESTful 风格的 Web 服务。总体目标是使客户端和文件系统作为服务器以同样的速度来更新。相关的方法，参数和模型紧密集成到服务器端的代码，允许API来始终保持同步。

Swagger生成的API文档，是直接暴露在相关web路径下的。所有人均可以访问查看。通过这一点即可获取项目上所有的接口信息。那么结合实际业务，例如如果有文件读取相关的接口，可能存在任意文件下载，相关的业务访问可能存在未授权访问等。

参考链接：
https://www.sec-in.com/article/476

解决方案

详见“https://blog.csdn.net/qq_27808011/article/details/132715653?spm=1001.2014.3001.5501”

Oracle、MySQL、Tomcat等软件的漏洞相关

详细描述

如下图所示：

解决方案

这类问题，保证在大版本不动的情况下，只要更新到最新的小版本即可。
----------------------------------END----------------------------------

天行健，君子以自强不息；地势坤，君子以厚德载物