McAfee Database Security 6月多个清静误差

宣布时间 2021-06-07

0x00 误差概述

McAfee 数据库清静产品能够实时�；ひτ档氖菘�，阻止其遭受外部、内部和数据库内部的种种攻击。

2021年06月01日，McAfee宣布清静通告，修复了Database Security中的5个清静误差，攻击者可以通过使用这些误差未授权会见、获取敏感信息或控制服务器。

 

0x01 误差详情

image.png

本次修复的5个误差中，CVE-2021-23894和CVE-2021-23895是McAfee Database Security （DBSec）中的反序列化误差，未经认证的远程攻击者可以通过发送恶意构建的Java序列化工具到DBSec服务器来触发此误差，并通过在DBSec服务器上建设具有管理员权限的反向shell来控制服务器。

CVE-2021-31830是DBSec中的XSS误差，拥有管理权限的攻击者可以通过在设置要监控的数据库名称时嵌入JavaScript代码，当任何授权用户登录到DBSec界面并翻开该数据库的属性设置页面时，将触发恶意代码，但使用此误差需要用户交互。

CVE-2021-31831是DBSec中已删除剧本的不准确会见误差，这些剧本被保存下来，以便在未来需要剖析往事务时使用。但经由认证的远程攻击者可以通过REST API获得对管理控制台中已标记为删除或逾期的署名SQL剧本的会见，但使用此误差需要用户交互。

CVE-2021-23896是DBSec管理员界面中的敏感信息明文传输误差，拥有管理权限的攻击者可以使用此误差审查McAfee Insights Server的未加密密码，但使用此误差需要用户交互。

 

CVE-ID

类型

CVSSv3评分

影响规模

CVE-2021-23894

反序列化

9.6

<   4.8.2

CVE-2021-23895

反序列化

9.0

CVE-2021-23896

信息泄露

3.2

CVE-2021-31830

XSS

5.9

CVE-2021-31831

会见控制过失

4.9

 

 

0x02 处置惩罚建议

现在McAfee已经在DBSec 4.8.2中修复了这些误差，建议实时升级更新：

下载毗连：

https://www.mcafee.com/enterprise/en-us/downloads.html

 

0x03 参考链接

https://kc.mcafee.com/corporate/index?page=content&id=SB10359#Remediation

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-23894

https://nvd.nist.gov/vuln/detail/CVE-2021-23894

 

0x04 时间线

2021-06-01  McAfee宣布清静通告

2021-06-02  McAfee更新清静通告

2021-06-07  VSRC宣布清静通告

 

0x05 附录

 

CVSS评分标准官网：http://www.first.org/cvss/

image.png