【漏洞通告】OpenLiteSpeed Web Server多個安全漏洞
發布時間 2022-11-140x00 漏洞概述
11月10日，研究人員公開披露了OpenLiteSpeed Web Server和企業版LiteSpeed Web Server中多個漏洞的細節，這些漏洞可能導致信息泄露、權限提升和遠程代碼執行。
0x01 漏洞詳情
OpenLiteSpeed 是LiteSpeed Technologies 開發的高性能、輕量級的開源 HTTP 服務器，它是LiteSpeed Web Server Enterprise的開源版本。
OpenLiteSpeed Web Server及其企業版中存在如下3個漏洞，可以通過組合利用這些漏洞遠程執行代碼并將權限提升為root：
CVE-2022-0072 ：OpenLiteSpeed目錄遍歷漏洞
OpenLiteSpeed Web Server和LiteSpeed Web Server儀表板中存在目錄遍歷漏洞，可能導致繞過安全措施并訪問被禁止的文件。
CVE-2022-0073 ：OpenLiteSpeed遠程代碼執行漏洞
OpenLiteSpeed Web Server和LiteSpeed Web Server管理儀表板容易受到命令注入漏洞的影響，獲得儀表板憑據的惡意用戶可以利用該漏洞在服務器上執行代碼。
CVE-2022-0074 ：OpenLiteSpeed權限提升漏洞
OpenLiteSpeed Web Server和LiteSpeed Web Server容器中存在不受信任的搜索路徑漏洞，可能導致權限提升為root。
影響范圍
受影響產品 | CVE-2022-0072 | CVE-2022-0073 | CVE-2022-0074 |
OpenLiteSpeed Web Server | 1.5.11 - 1.5.12 1.6.5 - 1.6.20.1 1.7.0 - 1.7.16.1之前 | 1.7.0 - 1.7.16.1之前 | 1.6.15 - 1.7.16.1之前 |
LiteSpeed Web Server |
0x02 安全建議
目前LiteSpeed Technologies已經修復了這些漏洞，受影響用戶可升級到OpenLiteSpeed v1.7.16.1、LiteSpeed 6.0.12 或更高版本。
OpenLiteSpeed下載鏈接：
https://github.com/litespeedtech/openlitespeed/tags
LiteSpeed下載鏈接：
https://store.litespeedtech.com/store/index.php?rp=/announcements/451
0x03 參考鏈接
https://unit42.paloaltonetworks.com/openlitespeed-vulnerabilities/
https://thehackernews.com/2022/11/multiple-high-severity-flaw-affect.html
0x04 版本信息
版本 | 日期 | 修改內容 |
V1.0 | 2022-11-14 | 首次發布 |
0x05 附錄
公司簡介
啟明星辰成立于1996年，是由留美博士嚴望佳女士創建的、擁有完全自主知識產權的信息安全高科技企業。是國內最具實力的信息安全產品、安全服務解決方案的領航企業之一。
公司總部位于北京市中關村軟件園啟明星辰大廈，公司員工6000余人，研發團隊1200余人, 技術服務團隊1300余人。在全國各省、市、自治區設立分支機構六十多個，擁有覆蓋全國的銷售體系、渠道體系和技術支持體系。公司于2010年6月23日在深圳中小板掛牌上市。（股票代碼：002439）
多年來，啟明星辰致力于提供具有國際競爭力的自主創新的安全產品和最佳實踐服務，幫助客戶全面提升其IT基礎設施的安全性和生產效能，為打造和提升國際化的民族信息安全產業領軍品牌而不懈努力。
關于我們
啟明星辰安全應急響應中心主要針對重要安全漏洞的預警、跟蹤和分享全球最新的威脅情報和安全報告。
關注以下公眾號，獲取全球最新安全資訊：
京公網安備11010802024551號