👇👇👇👇无障碍无限制 阅读👇👇👇👇关注底部的“gong zhong hao”发送关键字获取内容： 漏洞修复👆👆👆👆无障碍无限制阅读👆👆👆👆👆👆目录👇👇👇👇无障碍无限制 阅读👇👇👇👇关注底部的“gong zhong hao”发送关键字获取内容： 漏洞修复👆👆👆👆无障碍无限制阅读👆👆👆👆👆👆说明Redis 缓冲区溢出漏洞 （CVE-2024-31449）漏洞信息影响范围解决办法nacos Jraft 文件读写漏洞 （AVD-2024-1743586）漏洞信息影响范围解决办法修复步骤nacos 漏洞 (CVE-2021-29441)漏洞信息影响范围解决办法修复步骤其他节点升级其他安全策略SSL/TLS协议信息泄露漏洞(CVE-2016-2183)漏洞信息解决办法验证方法修复步骤说明查询当前使用的openssl版本号下载并安装新版本的openssl替换nginx中使用的openssl到最新版sudo 漏洞 CVE-2021-3156漏洞信息影响版本解决办法验证方法修复步骤OpenSSH ssh-agent 远程代码执行漏洞（CVE-2023-38408）漏洞信息影响版本解决办法修复步骤1. 下载新版包2. 开始升级liblzma/xz 官方库被植入后门漏洞（CVE-2024-3094）漏洞信息影响版本解决办法OpenSSH 安全漏洞(CVE-2026-35414)、(CVE-2026-35385)、(CVE-2026-35386)、(CVE-2026-35387)漏洞信息影响版本解决办法注意事项步骤升级到OpenSSH_10.6p1验证检测到远端RPCBIND/PORTMAP正在运行中(CVE-1999-0632)漏洞信息影响版本解决办法步骤说明此文章主要记录工作中遇到的漏洞以及修复过程。Redis 缓冲区溢出漏洞 （CVE-2024-31449）漏洞信息经过身份验证的用户可能会使用特制的 Lua脚本来触发位库中的堆栈缓冲区溢出，这可能会导致远程代码执行。所有带有 Lua 脚本的 Redis 版本都存在该问题。影响范围2.6 ≤ Redis 6.2.167.0.0 ≤ Redis 7.2.67.4.0 ≤ Redis 7.4.1解决办法建议受影响客户将redis更新到6.2.16、7.2.6或7.4.1及以上版本。新版本下载地址：https://redis.io/downloads/nacos Jraft 文件读写漏洞 （AVD-2024-1743586）漏洞信息Nacos 提供了一组简单易用的特性集，帮助您快速实现动态服务发现、服务配置、服务元数据及流量管理。2024年8月，官方披露 Nacos Jraft 文件读写漏洞。原因是部分Jraft（端口默认值7848）请求磁盘操作时未限制文件路径导致，官方已发布 2.4.1和1.4.8 版本修复该漏洞。影响范围小于2.4.1小于1.4.8解决办法1、升级至最新版本（推荐）2、利用安全组设置 Jraft 仅对可信地址开放.修复步骤本次升级从2.3.2 升级到 2.4.1注意：升级步骤和本文中下方的nacos 漏洞 (CVE-2021-29441)升级步骤一致。按照nacos 漏洞 (CVE-2021-29441)修复步骤操作后启动，启动过程中查看启动日志，若启动日志中出现以下的异常。则需要修改启动脚本文件bin/startup.sh修改启动脚本startup.sh。在脚本中加入以下这两行配置。重新运行启动脚本即可。# 新增这两行配置# 根据上图，出现 opens java.lang 的异常，配置处理JAVA_OPT="${JAVA_OPT}--add-opens java.base/java.lang=ALL-UNNAMED"# 再次运行出现 opens java.util.concurrent.atomic 的异常，配置处理JAVA_OPT="${JAVA_OPT}--add-opens java.base/java.util.concurrent.atomic=ALL-UNNAMED"# 依次类推。出现什么异常就配置什么， 我这只有这两个异常，配置上去就行。# 注意： 上面两行的配置一定要放在这行配置之上。JAVA_OPT="${JAVA_OPT}-jar${BASE_DIR}/target/${SERVER}.jar"如下图：重启测试即可nacos 漏洞 (CVE-2021-29441)漏洞信息Nacos 提供了一组简单易用的特性集，帮助您快速实现动态服务发现、服务配置、服务元数据及流量管理。CVE-2021-29441中，攻击者通过添加Nacos-Server的User-Agent头部将可绕过认证，从而进行API操作。该漏洞EXP已公开传播，漏洞利用成本极低，危险等级高，建议立即修复。影响范围nacos版本号 小于等于 2.0.0-ALPHA.1nacos版本号 小于 1.4.1解决办法更新至最新版，完成漏洞的修复。修复步骤注意：此处步骤为原本已经安装了受影响版本的nacos。下载最新版本，此处下载的版本包为：nacos-server-2.3.2.zip，下载地址：https://nacos.io/download/release-history/将压缩包上传到服务器备份原来的nacos安装目录解压上传的nacos-server-2.3.2.zip，解压后得到nacos文件夹# 解压unzipnacos-server-2.3.2.zip将原来的的nacos安装目录中的，bin、conf、target目录删除，将解压后的nacos中的bin、conf、target目录复制到原来的nacos安装目录下。再次根据自己的实际情况修改conf/application.properties配置。此处省略掉nacos连接数据库配置、数据库类型等配置，这些配置根据自己旧版本的配置配置即可。最主要的是在配置文件中修改以下相关配置。开启nacos鉴权功能（此配置必须修改）原本的nacos鉴权功能默认是关闭状态，如下：nacos.core.auth.enabled=false此处配置需要打开，改成tue。开启鉴权nacos.core.auth.enabled=true配置token令牌密钥（此配置必须修改）在配置中找到以下配置：nacos.core.auth.plugin.nacos.token.secret.key=SecretKey012345678901234567890123456789012345678901234567890123456789将配置修改为自己定义的token密钥。密钥要求必须要用Base64进行编码处理，且原始字符必须大于等于32个字符。此处推荐一个在线Base64编码界面工具。https://base64.us/ 如下图将编码复制后放入配置中nacos.core.auth.plugin.nacos.token.secret.key=emhhbmdYaWFvU2FuQDIxMjM0NTY0ODU=配置自定义登录账号密码（此配置必须修改）在配置文件中，找到以下两个配置nacos.core.auth.server.identity.key=serverIdentitynacos.core.auth.server.identity.value=security将以下配置修改为自己登录nacos的账号密码。例如此处修改为，账号：zhangxiaosan , 密码修改为：Root@123456nacos.core.auth.server.identity.key=zhangxiaosannacos.core.auth.server.identity.value=Root@123456此处的账号密码将用于登录界面的登录使用集群配置如果为nacos集群，则需要修改conf/cluster.conf验证升级结果进入bin目录下，以单节点的方式启动nacos。看到打印的版本号为更新的版本号Nacos 2.3.2则表示成功。# 单节点的方式启动nacos./startup.sh-mstandalone如下：其他节点升级将本节点的安装文件目录通过scp命令拷贝到其他机器即可。集群启动后，访问nacos管理端，看到下图提示说明鉴权已经开启成功其他安全策略开启防火墙，限制能访问此管理界面的IP地址。设置白名单等。SSL/TLS协议信息泄露漏洞(CVE-2016-2183)漏洞信息名称SSL/TLS协议信息泄露漏洞(CVE-2016-2183)【原理扫描】【可验证】详细描述TLS是安全传输层协议，用于在两个通信应用程序之间提供保密性和数据完整性。TLS, SSH, IPSec协商及其他产品中使用的IDEA、DES及Triple DES密
