McAfee Database Security 6月多个安全缝隙

颁布功夫 2021-06-07

0x00 缝隙概述

McAfee 数据库安全产品可能实时�；す丶滴竦氖菘�，预防其遭逢表部、内部和数据库内部的各类攻击。

2021年06月01日，McAfee颁布安全布告，建复了Database Security中的5个安全缝隙，攻击者能够通过利用这些缝隙未授权接见、获取敏感信息或节造服务器。

 

0x01 缝隙详情

image.png

本次建复的5个缝隙中，CVE-2021-23894和CVE-2021-23895是McAfee Database Security （DBSec）中的反序列化缝隙，未经认证的远程攻击者能够通过发送恶意构建的Java序列化对象到DBSec服务器来触发此缝隙，并通过在DBSec服务器上创建拥有治理员权限的反向shell来节造服务器。

CVE-2021-31830是DBSec中的XSS缝隙，占有治理权限的攻击者能够通过在配置要监控的数据库名称时嵌入JavaScript代码，当任何授权用户登录到DBSec界面并打开该数据库的属性配置页面时，将触发恶意代码，但利用此缝隙必要用户交互。

CVE-2021-31831是DBSec中已删除剧本的不正确接见缝隙，这些剧本被保留下来，以便在将来必要分析往事务时使用。但经过认证的远程攻击者能够通过REST API获得对治理节造台中已象征为删除或过期的署名SQL剧本的接见，但利用此缝隙必要用户交互。

CVE-2021-23896是DBSec治理员界面中的敏感信息明文传输缝隙，占有治理权限的攻击者能够利用此缝隙查看McAfee Insights Server的未加密密码，但利用此缝隙必要用户交互。

 

CVE-ID

类型

CVSSv3评分

影响领域

CVE-2021-23894

反序列化

9.6

<   4.8.2

CVE-2021-23895

反序列化

9.0

CVE-2021-23896

信息泄露

3.2

CVE-2021-31830

XSS

5.9

CVE-2021-31831

接见节造谬误

4.9

 

 

0x02 措置建议

目前McAfee已经在DBSec 4.8.2中建复了这些缝隙，建议实时升级更新：

下载衔接：

https://www.mcafee.com/enterprise/en-us/downloads.html

 

0x03 参考链接

https://kc.mcafee.com/corporate/index?page=content&id=SB10359#Remediation

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-23894

https://nvd.nist.gov/vuln/detail/CVE-2021-23894

 

0x04 功夫线

2021-06-01  McAfee颁布安全布告

2021-06-02  McAfee更新安全布告

2021-06-07  VSRC颁布安全公告

 

0x05 附录

 

CVSS评分尺度官网：http://www.first.org/cvss/

image.png