本周安全态势概览OSCS社区一共收录了46个安全漏洞，值得关注的是LibreOfficeArbitrary代码执行漏洞(CVE-2022-26305)、AtlassianJira服务管理SSRF漏洞(CVE-2021-43959)、AdobeAcrobatReader越界读取漏洞(CVE-2022-35672)和ApacheCalciteAvatica项目存在远程代码执行漏洞(CVE-2022-36364)。NPM仓库共检测到4起中毒事件，涉及58个不同版本的NPM组件。中毒组件的大部分行为都是试图获取宿主机的敏感信息。重要安全漏洞列表LibreOffice任意代码执行漏洞（CVE-2022-26305）LibreOffice是一款办公软件。受影响的LibreOffice版本通过证书序列号和颁发者字符串验证证书真实性，导致证书伪造的可能性。攻击者可以利用该漏洞伪造可信证书，从而在不受信任的宏中执行任意代码。参考链接：https://www.oscs1024.com/hd/M...AtlassianJira服务管理SSRF漏洞（CVE-2021-43959）JIRA是Atlassian出品的项目和事务跟踪工具。AtlassianJira服务管理服务器和数据中心的受影响版本可能允许经过身份验证的远程攻击者通过JSMInsight的CSV导入功能中的服务器端请求伪造(SSRF)漏洞访问内部网络资源的内容。攻击者可以利用此漏洞访问内部系统数据。参考链接：https://www.oscs1024.com/hd/M...AdobeAcrobatReader越界读取漏洞(CVE-2022-35672)Adob??eAcrobatReader是一款免费的PDF阅读器应用程序。受影响的Adob??eAcrobatReader版本在解析特制文件时受到越界读取漏洞的影响，导致读取超出内存结构的大小。攻击者可以利用此漏洞在当前用户的上下文中执行代码。参考链接：https://www.oscs1024.com/hd/M...ApacheCalciteAvatica项目存在远程代码执行漏洞（CVE-2022-36364）ApacheCalciteAvatica是构建数据库驱动程序的框架。ApacheCalciteAvaticaJDBC驱动程序根据通过httpclient_impl提供的类名创建HTTP客户端实例连接属性，驱动程序不验证该类是否由预期接口实例化，攻击者可以利用此漏洞远程执行代码。参考链接：https://mp.weixin.qq.com/s/y7...中毒风险监测OSCS对NPM仓库的恶意组件监测数量如下，时间主要集中在周一和周四。OSCS为NPM存储库监控的恶意组件数量如下所示。本周新发现58个不同版本的NPM组件，其中87.18%的中毒NPM组件为：获取主机敏感信息（获取主机的用户名、IP等敏感信息12.82%的中毒NPM组件分别是：意外网络访问（安装时自动请求远程服务地址，无实际危害）其他信息黑客利用PrestaShop0Day窃取支付数据https://thehackernews.com/202...恶意npm包窃取Discord代币、信用卡信息https://www.darkreading.com/r...资讯订阅OSCS（开源软件供应链安全社区）以最快最全面的方式发布开源项目最新安全风险趋势，包括开源组件安全漏洞、事件等信息，同时提供漏洞、中毒情报免费订阅服务，社区用户可以通过配置飞书、钉钉、企业微信机器人，及时获取第一手情报信息：https://www.oscs1024.com/?src=wx具体订阅详情见：https://www.oscs1024.com/docs...
