BleepingComputer披露了适用于Windows、Linux和macOS的TeradiciPCoIP客户端和代理中的一个安全漏洞，影响了1500万个端点。TeradiciPCoIP（PCoverIP）是一种专有的远程桌面协议，授权给虚拟化产品供应商。它于2021年被惠普收购，此后一直用于其产品。据官网介绍，TeradiciPCoIP产品已部署在1500万台终端上，主要支持政府机构、军队单位、游戏开发公司、广播公司、新闻机构等。近日，安全研究人员发现Teradici受到最近披露的OpenSSL影响导致无限拒绝服务循环的证书解析漏洞。其他漏洞近期，惠普在两份公告中披露了十几个漏洞，其中严重级别为3个（CVSSv3评分：9.8），严重级别为8个，严重级别为1个，中等级别为1个。此修复针对最重要的漏洞之一CVE-2022-0778，这是OpenSSL中通过解析恶意制作的证书而触发的拒绝服务漏洞。该漏洞将导致软件无响应循环，这种攻击对于产品的关键任务应用程序来说将是非常具有破坏性的，并且用户将无法再远程访问该设备。另一组已修复的漏洞是CVE-2022-22822、CVE-2022-22823和CVE-2022-22824，libexpat中的所有整数溢出和无效移位问题都可能导致无法控制的资源消耗、权限提升和远程代码执行。其余五个高危漏洞也是整数溢出漏洞，被跟踪为CVE-2021-45960、CVE-2022-22825、CVE-2022-22826、CVE-2022-22827和CVE-2021-46143。受上述漏洞影响的产品包括PCoIP客户端、客户端SDK、图形代理以及适用于Windows、Linux和macOS的标准代理。据悉，为解决该漏洞，惠普于2022年4月4日至5日发布了安全更新，并敦促用户更新至22.01.3或更高版本，该版本使用OpenSSL1.1.1n和libexpat2.4.7。OpenSSL的影响虽然OpenSSLDoS漏洞不是灾难性缺陷，但其广泛部署仍然是一个重大问题。上个月底，QNAP警告称其大部分NAS设备都容易受到CVE-2022-0778漏洞的攻击，用户应尽快应用安全更新。此外，为了防止OpenSSLDoS漏洞，PaloAltoNetworks正在为其VPN、XDR和防火墙产品的客户提供安全更新和缓解措施。参考文章：https://www.bleepingcomputer.com/news/security/critical-hp-teradici-pcoip-flaws-impact-15-million-endpoints/
