本周安全态势综述
OSCS社区共收录安全漏洞33个，公开漏洞值得关注的是Apache Flume 存在JNDI注入漏洞（CVE-2022-34916），Apache Airflow Docker Provider <3.0 存在远程代码执行漏洞（CVE-2022-38362）和Apache ActiveMQ Artemis 存在 HTML 注入漏洞（CVE-2022-35278）。
针对 NPM 仓库，共监测到 5 次投毒事件，涉及 36 个不同版本的 NPM 组件，投毒组件中绝大多数行为是尝试获取主机敏感信息。
重要安全漏洞列表
- Apache Flume 存在 JNDI 注入漏洞（CVE-2022-34916）
Apache Flume 是一种分布式、可靠且可用的服务，用于高效收集、聚合和移动大量日志数据。
Apache Flume 的漏洞版本中由于配置不当存在JNDI注入漏洞，攻击者可以利用此漏洞进行远程代码执行。
参考链接：https://www.oscs1024.com/hd/M...
- Apache Airflow Docker Provider <3.0 存在远程代码执行漏洞（CVE-2022-38362）
Apache Airflow Docker 是一个用于创建、管理和监控工作流程的开源平台。
在受影响版本中存在远程命令执行漏洞。
攻击者可利用该漏洞获取隐私数据，甚至接管服务器。
参考链接：https://www.oscs1024.com/hd/M...
- Apache ActiveMQ Artemis 存在 HTML 注入漏洞（CVE-2022-35278）。
Apache ActiveMQ是一个用 Java 编写的开源消息代理以及完整的Java 消息服务(JMS) 客户端。
Apache ActiveMQ Artemis的漏洞版本存在HTML注入漏洞。
攻击者可以通过在地址或队列名称中使用 HTML来显示恶意内容或将用户请求重定向到 Web 控制台中的恶意 URL。
参考链接：https://www.oscs1024.com/hd/M...
投毒风险监测
OSCS针对 NPM 仓库监测的恶意组件数量如下所示，其中 NPM 仓库仍旧是主要投毒对象。
- 本周新发现 36 个不同版本的恶意组件，其中
-
- 100%的投毒组件为：获取主机敏感信息（获取了主机的用户名、IP 等敏感信息）
其他资讯
微软员工在 github 暴露了自己公司的内部登录信息
https://www.vice.com/en/article/m7gb43/microsoft-employees-exposed-login-credentials-azure-github
情报订阅
OSCS(开源软件供应链安全社区)通过最快、最全的方式，发布开源项目最新的安全风险动态，包括开源组件安全漏洞、事件等信息。同时提供漏洞、投毒情报的免费订阅服务，社区用户可通过配置飞书、钉钉、企业微信机器人，及时获得一手情报信息推送：
https://www.oscs1024.com/?src=sf
具体订阅方式详见：
https://www.oscs1024.com/docs/vuln-warning/intro/?src=sf
相关文章
