【误差通告】OpenLiteSpeed Web Server多个清静误差

宣布时间 2022-11-14

0x00 误差概述

11月10日 ，，，，研究职员果真披露了OpenLiteSpeed Web Server和企业版LiteSpeed Web Server中多个误差的细节 ，，，，这些误差可能导致信息泄露、权限提升和远程代码执行。。。。。。

 

0x01 误差详情

OpenLiteSpeed 是LiteSpeed Technologies 开发的高性能、轻量级的开源 HTTP 效劳器 ，，，，它是LiteSpeed Web Server Enterprise的开源版本。。。。。。

OpenLiteSpeed Web Server及其企业版中保存如下3个误差 ，，，，可以通过组合使用这些误差远程执行代码并将权限提升为root：

CVE-2022-0072 ：OpenLiteSpeed目录遍历误差

OpenLiteSpeed Web Server和LiteSpeed Web Server仪表板中保存目录遍历误差 ，，，，可能导致绕过清静步伐并会见被榨取的文件。。。。。。

CVE-2022-0073 ：OpenLiteSpeed远程代码执行误差

OpenLiteSpeed Web Server和LiteSpeed Web Server治理仪表板容易受到下令注入误差的影响 ，，，，获得仪表板凭证的恶意用户可以使用该误差在效劳器上执行代码。。。。。。

CVE-2022-0074 ：OpenLiteSpeed权限提升误差

OpenLiteSpeed Web Server和LiteSpeed Web Server容器中保存不受信任的搜索路径误差 ，，，，可能导致权限提升为root。。。。。。

 

影响规模 

受影响产品

CVE-2022-0072

CVE-2022-0073

CVE-2022-0074

OpenLiteSpeed Web Server

1.5.11 - 1.5.12

1.6.5 - 1.6.20.1

1.7.0 - 1.7.16.1之前

1.7.0 - 1.7.16.1之前

1.6.15 - 1.7.16.1之前

LiteSpeed Web Server

 

0x02 清静建议

现在LiteSpeed Technologies已经修复了这些误差 ，，，，受影响用户可升级到OpenLiteSpeed v1.7.16.1、LiteSpeed 6.0.12 或更高版本。。。。。。

OpenLiteSpeed下载链接：

https://github.com/litespeedtech/openlitespeed/tags

LiteSpeed下载链接：

https://store.litespeedtech.com/store/index.php?rp=/announcements/451

 

0x03 参考链接

https://unit42.paloaltonetworks.com/openlitespeed-vulnerabilities/

https://thehackernews.com/2022/11/multiple-high-severity-flaw-affect.html

 

0x04 版本信息

版本

日期

修改内容

V1.0

2022-11-14

首次宣布

 

 

0x05 附录

凯发k8简介

凯发k8建设于1996年 ，，，，是由留美博士严望佳女士建设的、拥有完全自主知识产权的信息清静高科技企业。。。。。。是海内最具实力的信息清静产品、清静效劳解决计划的领航企业之一。。。。。。

公司总部位于北京市中关村软件园凯发k8大厦 ，，，，公司员工6000余人 ，，，，研发团队1200余人, 手艺效劳团队1300余人。。。。。。在天下各省、市、自治区设立分支机构六十多个 ，，，，拥有笼罩天下的销售系统、渠道系统和手艺支持系统。。。。。。公司于2010年6月23日在深圳中小板挂牌上市。。。。。。（股票代码：002439）

多年来 ，，，，凯发k8致力于提供具有国际竞争力的自主立异的清静产品和最佳实践效劳 ，，，，资助客户周全提升其IT基础设施的清静性和生产效能 ，，，，为打造和提升国际化的民族信息清静工业领军品牌而不懈起劲。。。。。。

 

关于凯发k8

凯发k8清静应急响应中心主要针对主要清静误差的预警、跟踪和分享全球最新的威胁情报和清静报告。。。。。。

关注以下公众号 ，，，，获取全球最新清静资讯：

image.png