【误差通告】OpenLiteSpeed Web Server多个清静误差

宣布时间 2022-11-14

0x00 误差概述

11月10日，研究职员果真披露了OpenLiteSpeed Web Server和企业版LiteSpeed Web Server中多个误差的细节，这些误差可能导致信息泄露、权限提升和远程代码执行。

 

0x01 误差详情

OpenLiteSpeed 是LiteSpeed Technologies 开发的高性能、轻量级的开源 HTTP 服务器，它是LiteSpeed Web Server Enterprise的开源版本。

OpenLiteSpeed Web Server及其企业版中保存如下3个误差，可以通过组合使用这些误差远程执行代码并将权限提升为root：

CVE-2022-0072 ：OpenLiteSpeed目录遍历误差

OpenLiteSpeed Web Server和LiteSpeed Web Server仪表板中保存目录遍历误差，可能导致绕过清静步伐并会见被榨取的文件。

CVE-2022-0073 ：OpenLiteSpeed远程代码执行误差

OpenLiteSpeed Web Server和LiteSpeed Web Server管理仪表板容易受到下令注入误差的影响，获得仪表板凭证的恶意用户可以使用该误差在服务器上执行代码。

CVE-2022-0074 ：OpenLiteSpeed权限提升误差

OpenLiteSpeed Web Server和LiteSpeed Web Server容器中保存不受信任的搜索路径误差，可能导致权限提升为root。

 

影响规模 

受影响产品

CVE-2022-0072

CVE-2022-0073

CVE-2022-0074

OpenLiteSpeed Web Server

1.5.11 - 1.5.12

1.6.5 - 1.6.20.1

1.7.0 - 1.7.16.1之前

1.7.0 - 1.7.16.1之前

1.6.15 - 1.7.16.1之前

LiteSpeed Web Server

 

0x02 清静建议

现在LiteSpeed Technologies已经修复了这些误差，受影响用户可升级到OpenLiteSpeed v1.7.16.1、LiteSpeed 6.0.12 或更高版本。

OpenLiteSpeed下载链接：

https://github.com/litespeedtech/openlitespeed/tags

LiteSpeed下载链接：

https://store.litespeedtech.com/store/index.php?rp=/announcements/451

 

0x03 参考链接

https://unit42.paloaltonetworks.com/openlitespeed-vulnerabilities/

https://thehackernews.com/2022/11/multiple-high-severity-flaw-affect.html

 

0x04 版本信息

版本

日期

修改内容

V1.0

2022-11-14

首次宣布

 

 

0x05 附录

尊龙凯官网入口简介

尊龙凯官网入口建设于1996年，是由留美博士严望佳女士建设的、拥有完全自主知识产权的信息清静高科技企业。是海内最具实力的信息清静产品、清静服务解决计划的领航企业之一。

公司总部位于北京市中关村软件园尊龙凯官网入口大厦，公司员工6000余人，研发团队1200余人, 手艺服务团队1300余人。在天下各省、市、自治区设立分支机构六十多个，拥有笼罩天下的销售系统、渠道系统和手艺支持系统。公司于2010年6月23日在深圳中小板挂牌上市。（股票代码：002439）

多年来，尊龙凯官网入口致力于提供具有国际竞争力的自主立异的清静产品和最佳实践服务，资助客户周全提升其IT基础设施的清静性和生产效能，为打造和提升国际化的民族信息清静工业领军品牌而不懈起劲。

 

关于尊龙凯官网入口

尊龙凯官网入口清静应急响应中心主要针对主要清静误差的预警、跟踪和分享全球最新的威胁情报和清静报告。

关注以下公众号，获取全球最新清静资讯：

image.png