OSCS 社区共收录安全漏洞 3 个，公开漏洞值得关注的是 Apache NiFi 连接 URL 验证绕过漏洞(CVE-2023-40037)、PowerJob 未授权访问漏洞(CVE-2023-36106)、Apache Airflow Spark Provider 任意文件读取漏洞(CVE-2023-40272)。
针对 NPM 、PyPI 仓库，共监测到 81 个不同版本的毒组件，其中 NPM 组件包 mall-front-babel-directive 等携带远控木马，该系列的组件包具有持续性威胁行为 。
1、Apache NiFi 连接 URL 验证绕过漏洞(CVE-2023-40037)
Apache NiFi 是一个开源的数据流处理和自动化工具。
在受影响版本中，由于多个 Processors 和 Controller Services 在配置JDBC和JNDI JMS连接时对 URL 参数过滤不完全。使用 startsWith 方法过滤用户输入 URL，导致过滤可以被绕过。攻击者可以通过构造特定格式来绕过连接 URL 验证，可能造成数据泄露等危害。
参考链接：https://www.oscs1024.com/hd/MPS-0378-t16x
2、PowerJob 未授权访问漏洞(CVE-2023-36106)
PowerJob 是一款开源的分布式任务调度框架。
在 PowerJob 受影响版本中存在错误的访问控制漏洞。由于没有对 /container/list 接口做鉴权，未授权的攻击者可以构造 appId 参数访问 /container/list 接口获取应用容器的标识、运行状态、日志等敏感信息。
参考链接：https://www.oscs1024.com/hd/MPS-st3c-aw5x
3、Apache Airflow Spark Provider 任意文件读取漏洞
Apache Airflow Spark Provider 是 Apache Airflow 项目的一个插件，用于在 Airflow 中管理和调度 Apache Spark 作业。
受影响版本中，在 JDBC 连接时，由于没有对 conn_prefix 参数做验证，允许输入"?"来指定参数。攻击者可以通过构造参数 ?allowLoadLocalInfile=true 连接攻击者控制的恶意 mysql 服务器，读取 Airflow 上的任意文件。
参考链接：https://www.oscs1024.com/hd/MPS-w0kg-9vl7
4、NPM 组件包 mall-front-babel-directive 等携带远控木马
投毒者于8月17日起发布了 essc-crypto、urs-remote 等 NPM 组件包之后，相继发布 mall-front-babel-directive 等NPM投毒包，当用户安装时会针 Windows/Mac/Linux 系统从以下网址下载对应远控木马，进而与攻击者可控的 C2 服务器建立连接，远程执行系统命令或执行任意文件的上传/下载。
Windows 版本：hxxps://img.murphysec-nb.love/w_x32.exe
Mac 版本：hxxps://img.murphysec-nb.love/m_arm64
Linux 版本：hxxps://img.murphysec-nb.love/l_x64
参考链接：https://www.oscs1024.com/hd/MPS-6olr-8p73
*查看漏洞详情页，支持免费检测项目中使用了哪些有缺陷的第三方组件
OSCS 针对 NPM 仓库监测的恶意组件数量如下所示：
本周新发现 81 个不同版本的恶意组件:
https://mp.weixin.qq.com/s/zHgRa9Whp2mCpHVviHoOwg
OSCS(开源软件供应链安全社区)通过最快、最全的方式，发布开源项目最新的安全风险动态，包括开源组件安全漏洞、事件等信息。同时提供漏洞、投毒情报的免费订阅服务，社区用户可通过配置飞书、钉钉、企业微信机器人，及时获得一手情报信息推送：
https://www.oscs1024.com/cm
https://www.oscs1024.com/docs/vuln-warning/intro/#%E6%83%85%E6%8A%A5%E7%B1%BB%E5%9E%8B%E5%92%8C%E6%8E%A8%E9%80%81%E5%86%85%E5%AE%B9
OSCS