聚焦源代码安全，网罗国内外最新资讯！
编译：代码卫士
Tibco 公司的JasperReports 库被称为世界上最热门的开源报告引擎。JasperReports Server 软件旨在使非技术用户创建报告、仪表盘和可视化。CISA获悉，在2018年发现的两个JasperReports漏洞已被用于攻击活动中。
其中一个漏洞是CVE-2018-18809，它是位于JasperReports 库中的一个严重的目录遍历漏洞，可导致webserver用户访问位于主机系统上的数据，如访问其它系统的凭据等。该漏洞已在2019年修复。CVE-2018-18809影响使用JasperReports 库的主流厂商的产品，其中包括IBM产品。
第二个漏洞是CVE-2018-5430，它是影响JasperReports服务器的一个高危信息泄露漏洞。该漏洞在2018年4月得到修复。Tibco 公司当时发布安全公告称，“影响包括认证用户可能对包含服务器凭据的web应用配置文件具有只读访问权限。这些凭据随后可用于影响被JasperReports Server 访问的外部系统。”
这两个漏洞的技术详情和 PoC 利用均遭公开披露。
目前虽然尚未有公开报告表示这两个漏洞已遭恶意利用，但CISA只在存在在野利用的可靠证据后才会将漏洞增加到“必修”清单。
Tibco公司目前尚未就此事置评。
CISA要求联邦机构 必须在2023年1月19日前修复CVE-2018-5430和CVE-2018-18809。使用受影响产品的企业也应当尽快安装修复方案。
https://www.securityweek.com/cisa-says-two-old-jasperreports-vulnerabilities-exploited-attacks
题图：Pexels License
本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。
奇安信代码卫士 (codesafe)
国内首个专注于软件开发安全的产品线。
觉得不错，就点个 “在看” 或 "赞” 吧~