聚焦源代碼安全，網羅國內外最新資訊！
編譯：代碼衛士團隊
數字化時代，軟件無處不在。軟件如同社會中的「虛擬人」，已經成為支撐社會正常運轉的最基本元素之一，軟件的安全性問題也正在成為當今社會的根本性、基礎性問題。
隨着軟件產業的快速發展，軟件供應鏈也越發複雜多元，複雜的軟件供應鏈會引入一系列的安全問題，導致信息系統的整體安全防護難度越來越大。近年來，針對軟件供應鏈的安全攻擊事件一直呈快速增長態勢，造成的危害也越來越嚴重。
為此，我們推出「供應鏈安全」欄目。本欄目匯聚供應鏈安全資訊，分析供應鏈安全風險，提供緩解建議，為供應鏈安全保駕護航。
註：以往發布的部分供應鏈安全相關內容，請見文末「推薦閱讀」部分。
IBM 更新數據管理平台Db2，保護用戶免受第三方庫 Expat 老舊版本中的兩個嚴重漏洞。這兩個漏洞的評分均為9.8，均可使攻擊者利用整數溢出漏洞在易受攻擊系統上執行任意代碼。
這兩個漏洞是位於 Expat XML_GetBuffer 函數中的CVE-2022-23852和位於 doProlog 函數中的CVE-2022-23990。
NetApp 發布安全公告指出，這兩個漏洞如遭利用，「可導致敏感信息遭泄露、數據被添加或修改、拒絕服務等」。NetApp 正在發布修複方案，修復自家的多款易受攻擊產品。
IBM Db2 僅僅是 Expat (libexpat) 中的眾多企業產品之一。Expat 是解析XML 的C語言庫，「在處理無法適合RAM的過大文件方面以及要求性能和靈活性的文件方面尤為出色」。
Expat 的維護人員在2022年1月30日發布的2.4.4版本中修復了這些缺陷。它們影響 Db2 版本 9.7.x、10.1.x、10.5.x 和 11.1.x。
IBM 建議運行易受攻擊小版本的客戶下載對應的包含臨時修複方案的特殊 build。IBM 在4月20日發布安全通告指出，「可根據每個受影響發布的小版本層級來查找特殊 build：V9.7 FP11, V10.1 FP6, V10.5 FP11, and V11.1.4 FP6」。
Expat 也促使Oracle Communications MetaSolv Solution 和 Red Hat Enterprise Linux 推出更新。
Pulse Secure 也安排了在多款產品中解決這些漏洞的發布，包括 Pulse Desktop Client、Pulse Connect Secure和Ivanti Connect Secure，目前仍在調查某些其它產品是否易受攻擊。
另外其它組織機構也發布相關安全公告，如 Linux 發行版本Ubuntu、思科8000系列視頻監控攝像頭、Dell EMC VxRail 超融合（存儲）設備。
https://portswigger.net/daily-swig/ibm-database-updates-address-critical-vulnerabilities-in-third-party-xml-parser
題圖：Pixabay License
本文由奇安信編譯，不代表奇安信觀點。轉載請註明「轉自奇安信代碼衛士 https://codesafe.qianxin.com」。
奇安信代碼衛士 (codesafe)
國內首個專注於軟件開發安全的產品線。
覺得不錯，就點個「在看」 或 "贊」 吧~
留言列表