升級包下載：SP_003_n_upgrade_package_2021-07-20.zip

CVE-2021-28041: OpenSSH（OpenBSD Secure Shell）是Openbsd計劃組的一套用于安全訪問遠程計算機的連接工具。該工具是SSH協(xié)議的開源實現(xiàn)，支持對所有的傳輸進行加密，可有效阻止竊聽、連接劫持以及其他網(wǎng)絡級的攻擊。 OpenSSH before 8.5 存在安全漏洞，攻擊者可利用該漏洞在遺留操作系統(tǒng)上不受約束的代理套接字訪問。
CVE-2020-15778: OpenSSH（OpenBSD Secure Shell）是OpenBSD計劃組的一套用于安全訪問遠程計算機的連接工具.該工具是SSH協(xié)議的開源實現(xiàn)，支持對所有的傳輸進行加密，可有效阻止竊聽、連接劫持以及其他網(wǎng)絡級的攻擊. OpenSSH 8.3p1及之前版本中的scp的scp.c文件存在操作系統(tǒng)命令注入漏洞.該漏洞源于外部輸入數(shù)據(jù)構造操作系統(tǒng)可執(zhí)行命令過程中，網(wǎng)絡系統(tǒng)或產品未正確過濾其中的特殊字符、命令等.攻擊者可利用該漏洞執(zhí)行非法操作系統(tǒng)命令.
CVE-1999-0524:  ICMP信息如netmask和timestamp允許任意主機訪問.
CVE-2011-3389:  CVE-2011-3389:Opera是挪威歐朋（Opera Software）公司所開發(fā)的一款Web瀏覽器，它支持多窗口瀏覽、可定制用戶界面等. Opera 11.51之前版本中存在未明安全漏洞，該漏洞具有未知攻擊向量和“l(fā)ow severity”影響.
CVE-2015-0204:  OpenSSL是OpenSSL團隊開發(fā)的一個開源的能夠實現(xiàn)安全套接層（SSL v2/v3）和安全傳輸層（TLS v1）協(xié)議的通用加密庫，它支持多種加密算法，包括對稱密碼、哈希算法、安全散列算法等. OpenSSL的s3_clnt.c文件中的‘ssl3_get_key_exchange’函數(shù)存在安全漏洞.遠程攻擊者可通過提供臨時的RSA密鑰利用該漏洞實施RSA-to-EXPORT_RSA降級攻擊，加快暴力破解進度.以下版本受到影響：OpenSSL 0.9.8zd之前版本，1.0.0p之前1.0.0版本，1.0.1k之前1.0.1版本.
CVE-2015-0204:  CVE-2011-3389:Opera是挪威歐朋（Opera Software）公司所開發(fā)的一款Web瀏覽器，它支持多窗口瀏覽、可定制用戶界面等. Opera 11.51之前版本中存在未明安全漏洞，該漏洞具有未知攻擊向量和“l(fā)ow severity”影響.
CVE-2015-0204:  OpenSSL是OpenSSL團隊開發(fā)的一個開源的能夠實現(xiàn)安全套接層（SSL v2/v3）和安全傳輸層（TLS v1）協(xié)議的通用加密庫，它支持多種加密算法，包括對稱密碼、哈希算法、安全散列算法等. OpenSSL的s3_clnt.c文件中的‘ssl3_get_key_exchange’函數(shù)存在安全漏洞.遠程攻擊者可通過提供臨時的RSA密鑰利用該漏洞實施RSA-to-EXPORT_RSA降級攻擊，加快暴力破解進度.以下版本受到影響：OpenSSL 0.9.8zd之前版本，1.0.0p之前1.0.0版本，1.0.1k之前1.0.1版本.
CVE-2017-7679:  Apache httpd是美國阿帕奇（Apache）軟件基金會的一款專為現(xiàn)代操作系統(tǒng)開發(fā)和維護的開源HTTP服務器. Apache httpd 2.2.33之前的2.2.x版本和2.4.26之前的2.4.x版本存在安全漏洞.攻擊者可利用該漏洞造成緩沖區(qū)越邊界讀取.
CVE-2017-3169:  Apache httpd是美國阿帕奇（Apache）軟件基金會的一款專為現(xiàn)代操作系統(tǒng)開發(fā)和維護的開源HTTP服務器. Apache httpd 2.2.33之前的2.2.x版本和2.4.26之前的2.4.x版本中存在安全漏洞.攻擊者可利用該漏洞造成拒絕服務（空指針逆向引用）.
CVE-2017-3167:  Apache httpd是美國阿帕奇（Apache）軟件基金會的一款專為現(xiàn)代操作系統(tǒng)開發(fā)和維護的開源HTTP服務器. Apache httpd 2.2.33之前的2.2.x版本和2.4.26之前的2.4.x版本存在安全漏洞.攻擊者可利用該漏洞繞過身份驗證.
CVE-2017-9788:  Apache httpd是美國阿帕奇（Apache）軟件基金會的一款專為現(xiàn)代操作系統(tǒng)開發(fā)和維護的開源HTTP服務器. Apache httpd 2.2.34之前的版本和2.4.27之前的2.4.x版本中存在安全漏洞.攻擊者可利用該漏洞獲取敏感信息，造成拒絕服務（段錯誤）.
CVE-2015-0228:  Apache HTTP Server是美國阿帕奇（Apache）軟件基金會的一款開源網(wǎng)頁服務器。該服務器具有快速、可靠且可通過簡單的API進行擴充的特點。Apache HTTP Server 2.4.12及之前版本的mod_lua模塊中的lua_request.c文件中的‘lua_websocket_read’函數(shù)存在安全漏洞。遠程攻擊者可通過在Lua腳本調用wsupgrade函數(shù)后發(fā)送特制的WebSocket Ping幀利用該漏洞造成拒絕服務（child-process崩潰）。
CVE-2016-8743:  Apache HTTP Server是美國阿帕奇（Apache）軟件基金會的一款開源網(wǎng)頁服務器.該服務器具有快速、可靠且可通過簡單的API進行擴充的特點. Apache HTTP Server中存在安全漏洞.遠程攻擊者可利用該漏洞執(zhí)行任意的HTTP代碼，使服務器返回一個拆分響應.以下版本受到影響：Apache HTTP Server 2.4.23版本，2.4.20版本，2.4.18版本，2.4.17版本，2.4.16版本，2.4.12版本，2.4.10版本，2.4.9版本，2.4.7版本，2.4.6版本，2.4.4版本，2.4.3版本，2.4.2版本，2.4.1版本.EasyApache是Apache基金會的一個功能強大且易于使用的工具，內置在WHM/cPanel中，可以使用它來更新和配置Apache web服務器. EasyApache 存在代碼問題漏洞，該漏洞源于將NULL指針指向MOD_HTTP2、MOD_SESSION和MOD_PROXY_HTTP.
CVE-2003-1418:  Apache是一款流行的開放源代碼httpd服務程序。Apache Web服務程序在生成MIME消息邊界(message boundaries)時存在問題，遠程攻擊者可以利用這個漏洞獲得服務器敏感信息。Apache的把系統(tǒng)敏感信息用在生成的MIME消息邊界中，因此攻擊者可以在返回信息中獲得這些敏感信息，可以進一步對系統(tǒng)進行攻擊。OpenBSD提供了補丁使用BASE64編碼的隨機號來生成MIME邊界。＜*鏈接：http：//www.openbsd.org/errata.html*＞
CVE-2016-5387:  Apache HTTP Server是美國阿帕奇（Apache）軟件基金會的一款開源網(wǎng)頁服務器.該服務器具有快速、可靠且可通過簡單的API進行擴充的特點. Apache HTTP Server 2.4.23及之前的版本中存在安全漏洞，該漏洞源于程序沒有解決RFC 3875模式下的命名空間沖突.程序沒有正確處理來自HTTP_PROXY環(huán)境變量中不可信客戶端數(shù)據(jù)應用程序.遠程攻擊者借助HTTP請求中特制的Proxy header消息利用該漏洞實施中間人攻擊，指引服務器發(fā)送連接到任意主機.
CVE-2010-1452:  Apache HTTP Server是一款流行的Web服務器。Apache HTTP Server的mod_cache和mod_dav模塊沒有正確地處理沒有路徑段的請求，遠程攻擊者可以通過發(fā)送特制請求導致httpd子進程崩潰。
CVE-2017-9798:  Apache HTTP Server是美國阿帕奇（Apache）軟件基金會的一款開源網(wǎng)頁服務器.該服務器具有快速、可靠且可通過簡單的API進行擴充的特點. Apache HTTP Server 2.2.34及之前的版本和2.4.x版本至2.4.27版本中存在雙重釋放漏洞.攻擊者可通過發(fā)送未經(jīng)身份驗證的OPTIONS HTTP請求利用該漏洞讀取進程內存中的數(shù)據(jù).
CVE-2011-4415:  Apache HTTP Server是美國阿帕奇（Apache）軟件基金會的一款開源網(wǎng)頁服務器。該服務器具有快速、可靠且可通過簡單的API進行擴充的特點。Apache HTTP Server 2.0.x版本至2.0.64版本以及2.2.x版本至2.2.21版本中存在漏洞。由于server/util.c的ap_pregsub函數(shù)在啟用mod_setenvif模塊時不能限制環(huán)境變量值的大小，本地用戶可通過帶有特制SetEnvIf指示符的.htaccess文件導致拒絕服務（內存消耗或者空指針解引用）。
CVE-2018-8034:  Apache Tomcat是美國阿帕奇（Apache）軟件基金會下屬的Jakarta項目的一款輕量級Web應用服務器，它主要用于開發(fā)和調試JSP程序，適用于中小型系統(tǒng). Apache Tomcat 7.0.25版本至7.0.88版本、8.5.0版本至8.5.31版本和9.0.0.M1版本和9.0.9版本中存在安全繞過漏洞，該漏洞源于程序沒有驗證主機名稱.遠程攻擊者可利用該漏洞繞過安全限制，執(zhí)行未授權的操作.
CVE-2017-5647:  Apache Tomcat是美國阿帕奇（Apache）軟件基金會下屬的Jakarta項目的一款輕量級Web應用服務器，它主要用于開發(fā)和調試JSP程序，適用于中小型系統(tǒng). Apache Tomcat中的pipelined請求的處理過程存在安全漏洞.攻擊者可利用該漏洞讀取其他請求的數(shù)據(jù).以下版本受到影響：Apache Tomcat 9.0.0.M1版本至9.0.0.M18版本，8.5.0版本至8.5.12版本，8.0.0.RC1版本至8.0.42版本，7.0.0版本至7.0.76版本，6.0.0版本至6.0.52版本.
CVE-2017-5648:  Apache Tomcat是美國阿帕奇（Apache）軟件基金會下屬的Jakarta項目的一款輕量級Web應用服務器，它主要用于開發(fā)和調試JSP程序，適用于中小型系統(tǒng). Apache Tomcat中存在安全漏洞.攻擊者可利用該漏洞訪問或更改其他Web應用程序的信息.以下版本受到影響：Apache Tomcat 9.0.0.M1版本至9.0.0.M17版本，8.5.0版本至8.5.11版本，8.0.0.RC1版本至8.0.41版本，7.0.0版本至7.0.75版本.
CVE-2018-1336:  Apache Tomcat是美國阿帕奇（Apache）軟件基金會下屬的Jakarta項目的一款輕量級Web應用服務器，它主要用于開發(fā)和調試JSP程序，適用于中小型系統(tǒng). Apache Tomcat中存在拒絕服務漏洞.遠程攻擊者可通過發(fā)送特制的數(shù)據(jù)利用該漏洞造成拒絕服務（無限循環(huán)）.以下版本受到影響：Apache Tomcat 9.0.0.M9版本至9.0.7版本，8.5.0版本至8.5.30版本，8.0.0.RC1版本至8.0.51版本，7.0.28版本至7.0.86版本.
CVE-2017-12616: Apache Tomcat是美國阿帕奇（Apache）軟件基金會下屬的Jakarta項目的一款輕量級Web應用服務器，它主要用于開發(fā)和調試JSP程序，適用于中小型系統(tǒng). Apache Tomcat 7.0.0版本至7.0.80版本中存在安全漏洞.當Tomcat使用VirtualDirContext時，攻擊者可借助特制的請求利用該漏洞繞過安全限制，查看由VirtualDirContext提供的資源的JSPs源代碼.
CVE-2015-5351:  Apache Tomcat是美國阿帕奇（Apache）軟件基金會下屬的Jakarta項目的一款輕量級Web應用服務器，它主要用于開發(fā)和調試JSP程序，適用于中小型系統(tǒng)。Apache Tomcat的Manager和Host Manager應用程序中存在安全漏洞，該漏洞源于程序為任意新的請求建立會話并發(fā)送CSRF令牌。遠程攻擊者可通過使用令牌利用該漏洞繞過CSRF保護機制。以下版本受到影響：Apache Tomcat 7.0.68之前7.x版本，8.0.31之前8.x版本，9.0.0.M2之前9.x版本。
CVE-2015-5345:  Apache Tomcat是美國阿帕奇（Apache）軟件基金會的一款輕量級Web應用服務器。該程序實現(xiàn)了對Servlet和JavaServer Page（JSP）的支持。Apache Tomcat的Mapper組件中存在安全漏洞，該漏洞源于程序實現(xiàn)重定向前沒有處理安全約束和過濾器。遠程攻擊者可借助缺少‘/’字符結尾的URL利用該漏洞確定目錄的存在。以下版本受到影響：Apache Tomcat 6.0.45之前6.x版本，7.0.67之前7.x版本，8.0.30之前8.x版本，9.0.0.M2之前9.x版本。
CVE-2016-6816:  Apache Tomcat是美國阿帕奇（Apache）軟件基金會下屬的Jakarta項目的一款輕量級Web應用服務器，它主要用于開發(fā)和調試JSP程序，適用于中小型系統(tǒng). Apache Tomcat中存在安全漏洞，該漏洞源于程序沒有正確過濾HTTP請求.攻擊者可利用該漏洞實施跨站腳本攻擊，獲取敏感信息.以下版本受到影響：Apache Tomcat 9.0.0.M1至9.0.0.M11版本，8.5.0至8.5.6版本，8.0.0.RC1至8.0.38版本，7.0.0至7.0.72版本，6.0.0至6.0.47版本.
CVE-2021-30640: Apache Tomcat是美國阿帕奇（Apache）基金會的一款輕量級Web應用服務器.該程序實現(xiàn)了對Servlet和JavaServer Page（JSP）的支持. Apache Tomcat存在訪問控制錯誤漏洞，該漏洞源于Apache Tomcat 的 JNDI 領域中的一個漏洞允許攻擊者使用有效用戶名的變體進行身份驗證和/或繞過鎖定領域提供的某些保護.
CVE-2016-8745:  Apache Tomcat是美國阿帕奇（Apache）軟件基金會下屬的Jakarta項目的一款輕量級Web應用服務器，它主要用于開發(fā)和調試JSP程序，適用于中小型系統(tǒng). Apache Tomcat 9.0.0.M1至9.0.0.M13版本和8.5.0至8.5.8版本中存在信息泄露漏洞.攻擊者可利用該漏洞獲取敏感信息.
CVE-2016-0763:  Apache Tomcat是美國阿帕奇（Apache）軟件基金會下屬的Jakarta項目的一款輕量級Web應用服務器，它主要用于開發(fā)和調試JSP程序，適用于中小型系統(tǒng). Apache Tomcat的org/apache/naming/factory/ResourceLinkFactory.java文件中的‘setGlobalContext’方法存在安全漏洞，該漏洞源于程序運行在安全管理器下時，Web應用程序仍可調用‘ResourceLinkFactory.setGlobalContext’方法.遠程攻擊者可借助設置全局配置指令的Web應用程序利用該漏洞繞過既定的SecurityManager限制，讀取或寫入任意應用程序數(shù)據(jù)，或造成拒絕服務（應用程序中斷）.以下版本受到影響;Apache Tomcat 7.0.68之前7.x版本，8.0.31之前8.x版本，9.0.0.M3之前9.x版本.
CVE-2014-7810:  Apache Tomcat是美國阿帕奇（Apache）軟件基金會的一款輕量級Web應用服務器。該程序實現(xiàn)了對Servlet和JavaServer Page（JSP）的支持。Apache Tomcat中存在訪問控制錯誤漏洞。該漏洞源于網(wǎng)絡系統(tǒng)或產品未正確限制來自未授權角色的資源訪問。
CVE-2019-17563: Apache Tomcat是美國阿帕奇（Apache）軟件基金會的一款輕量級Web應用服務器。該程序實現(xiàn)了對Servlet和JavaServer Page（JSP）的支持。Apache Tomcat 9.0.0.M1版本至9.0.29版本、8.5.0版本至8.5.49版本和7.0.0版本至7.0.98版本中存在授權問題漏洞。該漏洞源于網(wǎng)絡系統(tǒng)或產品中缺少身份驗證措施或身份驗證強度不足。
CVE-2014-0119:  Apache Tomcat是美國阿帕奇（Apache）軟件基金會的一款輕量級Web應用服務器。該程序實現(xiàn)了對Servlet和JavaServer Page（JSP）的支持。Apache Tomcat中存在安全漏洞，該漏洞源于程序沒有正確限制類加載器訪問使用XSLT樣式表的XML解析器。遠程攻擊者可借助特制的Web應用程序利用該漏洞讀取任意文件，或讀取不同Web應用程序相關的文件。以下版本受到影響：Apache Tomcat 6.0.39及之前的版本，7.0.54之前的7.x版本，8.0.6之前的8.x版本。
CVE-2019-0221:  Apache Tomcat是美國阿帕奇（Apache）軟件基金會的一款輕量級Web應用服務器。該程序實現(xiàn)了對Servlet和JavaServer Page（JSP）的支持。Apache Tomcat 9.0.0.M1版本至9.0.0.17版本、8.5.0版本至8.5.39版本和7.0.0版本至7.0.93版本中存在跨站腳本漏洞。該漏洞源于WEB應用缺少對客戶端數(shù)據(jù)的正確驗證。攻擊者可利用該漏洞執(zhí)行客戶端代碼。
CVE-2021-28169: Eclipse Jetty是Eclipse基金會的一個開源的、基于Java的Web服務器和Java Servlet容器. Eclipse Jetty 中存在信息泄露漏洞，該漏洞源于通過對ConcatServlet的雙重編碼路徑請求訪問WEB-INF目錄中的受保護資源.以下產品及型號受到影響： Eclipse Jetty 9.4.40 版本及之前版本、Eclipse Jetty 10.0.2 版本及之前版本、Eclipse Jetty 11.0.2 版本及之前版本.
CVE-2020-27216: Eclipse Jetty是Eclipse基金會的一個開源的、基于Java的Web服務器和Java Servlet容器. Eclipse Jetty 存在安全漏洞，該漏洞源于系統(tǒng)的臨時目錄在該系統(tǒng)上的所有用戶之間共享.并置用戶可以觀察在共享臨時目錄中創(chuàng)建臨時子目錄的過程，并爭著完成臨時子目錄的創(chuàng)建.攻擊者可利用該漏洞擁有對用于解壓縮web應用程序的子目錄的讀寫權限，包括它們的web - inf lib jar文件和JSP文件.以下產品及版本收到影響：1.0 thru 9.4.32.v20200930版本, 10.0.0.alpha1 thru 10.0.0.beta2版本, 11.0.0.alpha1 thru 11.0.0.beta2O版本.
CVE-2021-34428: Eclipse Jetty是Eclipse基金會的一個開源的、基于Java的Web服務器和Java Servlet容器. Eclipse Jetty versions<= 9.4.40存在安全漏洞，該漏洞源于SessionListener拋出異常.

優(yōu)化Windows 2012基線變更檢測
優(yōu)化Windows 2016基線變更檢測