多個嚴重缺陷影響廣泛使用的 OpenLiteSpeed Web 伺服器軟體。

發表於2022 年 11 月 13 日作者 - 編輯類別 -安全0評論 - 1524意見 -

Multiple critical flaws affect the widely used OpenLiteSpeed web server software. cover

開源 OpenLiteSpeed Web Server 及其企業版本中發現多個高嚴重性漏洞，可被利用來實現遠端程式碼執行。

Palo Alto Networks Unit 42 在周四的報告中指出：“攻擊者可以透過連結和利用這些漏洞來破壞網頁伺服器並獲得完全特權的遠端程式碼執行。”

OpenLiteSpeed 是 LiteSpeed Web Server 的開源版本，是全球第六大最受歡迎的網路伺服器，擁有 190 萬台獨立伺服器。

三個缺陷中的第一個是目錄遍歷缺陷（CVE-2022-0072，CVSS 評分：5.8），可用於存取 Web 根目錄中的受限檔案。

其餘兩個漏洞（CVE-2022-0073 和 CVE-2022-0074，CVSS 評分：8.8）分別與權限提升和命令注入有關，它們可以串聯起來實現特權代碼執行。

CVE-2022-0073 是由 Unit 42 研究人員 Artur Avetisyan、Aviv Sasson、Ariel Zelivansky 和 Nathaniel Quist 發現的。他們說：“無論是通過暴力攻擊還是社會工程，成功獲取儀表板憑證的威脅行為者都可以利用此漏洞在伺服器上執行程式碼。”

這些問題影響 OpenLiteSpeed（從 1.5.11 到 1.7.16）和 LiteSpeed（從 5.4.6 到 6.0.11）的多個版本，並已於 2022 年 10 月 4 日負責任地披露後在 1.7.16.1 和 6.0.12 版本中修復。

——-

更新：

OLS 從 1.6 升級至 1.7.16：

大家好，

在所有連接的伺服器上，我們已經使用最新修補程式將 Openlitespeed 版本從 1.6 更新並升級到 1.7.16。

LiteSpeed/1.7.16 Open（BUILD 建置時間：2022 年 10 月 17 日星期一 21:33:28 UTC）。

在新設定的伺服器上，您也將收到 OLS 版本 1.7.16。

若要確定伺服器的 OLS 版本，請使用下列命令。