1. 通告信息
近日，安识科技A-Team团队监测到OpenLiteSpeed Web Server和企业版LiteSpeed Web Server中多个漏洞的细节，这些漏洞可能导致信息泄露、权限提升和远程代码执行。
对此，安识科技建议广大用户及时升级到安全版本，并做好资产自查以及预防工作，以免遭受黑客攻击。
2. 漏洞概述
漏洞名称：OpenLiteSpeed目录遍历漏洞
CVE编号：CVE-2022-0072
简述：OpenLiteSpeed Web Server和LiteSpeed Web Server仪表板中存在目录遍历漏洞，可能导致绕过安全措施并访问被禁止的文件。
漏洞名称：OpenLiteSpeed远程代码执行漏洞
CVE编号：CVE-2022-0073
简述：OpenLiteSpeed Web Server和LiteSpeed Web Server管理仪表板容易受到命令注入漏洞的影响，获得仪表板凭据的恶意用户可以利用该漏洞在服务器上执行代码。
漏洞名称：OpenLiteSpeed权限提升漏洞
CVE编号：CVE-2022-0074
简述：OpenLiteSpeed Web Server和LiteSpeed Web Server容器中存在不受信任的搜索路径漏洞，可能导致权限提升为root。
3. 漏洞危害
OpenLiteSpeed是LiteSpeed Technologies 开发的高性能、轻量级的开源 HTTP 服务器，它是LiteSpeed Web Server Enterprise的开源版本。
OpenLiteSpeed Web Server及其企业版中存在3个漏洞，可以通过组合利用这些漏洞远程执行代码并将权限提升为root。
4. 影响版本
目前受影响的OpenLiteSpeed Web Server和LiteSpeed Web Server版本：
1.5.11 <= OpenLiteSpeed Web Server <= 1.7.16
5.4.6 <=LiteSpeed Web Server<=6.0.11
5. 解决方案
目前LiteSpeed Technologies已经修复了这些漏洞，受影响用户可升级到OpenLiteSpeed v1.7.16.1、LiteSpeed 6.0.12 或更高版本。
OpenLiteSpeed下载链接：
https://github.com/litespeedtech/openlitespeed/tags
LiteSpeed下载链接：
https://store.litespeedtech.com/store/index.php?rp=/announcements/451
6. 时间轴
【-】2022年11月14日 安识科技A-Team团队监测到漏洞公布信息
【-】2022年11月15日 安识科技A-Team团队根据漏洞信息分析
【-】2022年11月16日 安识科技A-Team团队发布安全通告
本文作者：HACK_Learn
本文为安全脉搏专栏作者发布，转载请注明：https://www.secpulse.com/archives/191153.html
如有侵权请联系:admin#unsafe.sh