1. 通告信息



近日,安识科技A-Team团队监测到OpenLiteSpeed Web Server和企业版LiteSpeed Web Server中多个漏洞的细节,这些漏洞可能导致信息泄露、权限提升和远程代码执行。

对此,安识科技建议广大用户及时升级到安全版本,并做好资产自查以及预防工作,以免遭受黑客攻击。


2. 漏洞概述



漏洞名称:OpenLiteSpeed目录遍历漏洞

CVE编号:CVE-2022-0072

简述:OpenLiteSpeed Web Server和LiteSpeed Web Server仪表板中存在目录遍历漏洞,可能导致绕过安全措施并访问被禁止的文件。

漏洞名称:OpenLiteSpeed远程代码执行漏洞

CVE编号:CVE-2022-0073

简述:OpenLiteSpeed Web Server和LiteSpeed Web Server管理仪表板容易受到命令注入漏洞的影响,获得仪表板凭据的恶意用户可以利用该漏洞在服务器上执行代码。

漏洞名称:OpenLiteSpeed权限提升漏洞

CVE编号:CVE-2022-0074

简述:OpenLiteSpeed Web Server和LiteSpeed Web Server容器中存在不受信任的搜索路径漏洞,可能导致权限提升为root。


3. 漏洞危害



OpenLiteSpeed是LiteSpeed Technologies 开发的高性能、轻量级的开源 HTTP 服务器,它是LiteSpeed Web Server Enterprise的开源版本。

OpenLiteSpeed Web Server及其企业版中存在3个漏洞,可以通过组合利用这些漏洞远程执行代码并将权限提升为root。


4. 影响版本



目前受影响的OpenLiteSpeed Web Server和LiteSpeed Web Server版本:

1.5.11 <= OpenLiteSpeed Web Server <= 1.7.16

5.4.6 <=LiteSpeed Web Server<=6.0.11


5. 解决方案



目前LiteSpeed Technologies已经修复了这些漏洞,受影响用户可升级到OpenLiteSpeed v1.7.16.1、LiteSpeed 6.0.12 或更高版本。

OpenLiteSpeed下载链接:

https://github.com/litespeedtech/openlitespeed/tags

LiteSpeed下载链接:

https://store.litespeedtech.com/store/index.php?rp=/announcements/451


6. 时间轴



【-】2022年11月14日 安识科技A-Team团队监测到漏洞公布信息

【-】2022年11月15日 安识科技A-Team团队根据漏洞信息分析

【-】2022年11月16日 安识科技A-Team团队发布安全通告