Apache Archiva Vulnerability Summary: RCE, XSS, LDAP Injection (CVE-2023-28158, CVE-2013-2251)

关键漏洞信息总结 1. CVE-2023-28158: Privilege escalation via stored XSS 描述: 通过文件上传服务上传恶意内容，利用存储型XSS进行权限提升。 影响版本: N/A (具体版本未列出) 缓解措施: 仅限认证用户触发，无具体缓解措施列出。 2. CVE-2022-29405: Apache Archiva Arbitrary user password reset vulnerability 描述: 任意用户密码重置漏洞。 影响版本: N/A (具体版本未列出) 缓解措施: 未列出具体缓解措施。 3. CVE-2021-45105: Apache Log4j2 does not always protect from infinite recursion in lookup evaluation 描述: 在特定配置下，Log4j2可能无法防止查找评估中的无限递归。 影响版本: 使用了默认Archiva log4j2.xml配置的版本 缓解措施: 更新log4j2.xml配置。 4. CVE-2021-45046: Apache log4j2 Thread Context Lookup Pattern vulnerable to remote code execution in certain non-default configurations 描述: 在某些非默认配置下，Log4j2线程上下文查找模式易受远程代码执行攻击。 影响版本: 使用了默认Archiva log4j2.xml配置的版本 缓解措施: 更新log4j2.xml配置。 5. CVE-2021-44228: Apache log4j2 is vulnerable to remote code execution 描述: Log4j2库存在远程代码执行漏洞。 影响版本: 所有使用Log4j2库的版本 缓解措施: 更新log4j2库到最新版本，防止漏洞利用。 6. CVE-2020-9495: Apache Archiva login service is vulnerable to LDAP injection 描述: 登录服务易受LDAP注入攻击。 影响版本: 所有版本在2.2.5之前 缓解措施: 升级到Archiva 2.2.5或更高版本。 7. CVE-2019-0213: Apache Archiva XSS may be stored in central UI configuration 描述: 存储型XSS可能出现在中心UI配置中。 影响版本: 所有版本在2.2.4之前 缓解措施: 升级到Archiva 2.2.4或更高版本，确保通信安全并限制管理员权限。 8. CVE-2019-0214: Apache Archiva arbitrary file write and delete on the server 描述: 任意文件写入和删除漏洞。 影响版本: 所有版本在2.2.4之前 缓解措施: 强烈建议升级到Archiva 2.2.4或更高版本，实施验证防止恶意参数，限制上传用户和运行用户权限。 9. CVE-2017-5657: Apache Archiva CSRF vulnerabilities for various REST endpoints 描述: 多个REST端点存在CSRF漏洞。 影响版本: 所有版本在2.2.3之前 缓解措施: 升级到Archiva 2.2.3或更高版本，验证REST请求来源。 10. CVE-2013-2251: Apache Archiva Remote Command Execution 描述: 远程命令执行漏洞。 影响版本: Archiva 1.3到1.3.6，以及不受支持的1.2到1.2.2版本 缓解措施: 升级到Archiva 2.0.1或1.3.8，不受此漏洞影响。

目標達成 すべての支援者に感謝 — 100%達成しました！

Apache Archiva Vulnerability Summary: RCE, XSS, LDAP Injection (CVE-2023-28158, CVE-2013-2251)

目標達成すべての支援者に感謝 — 100%達成しました！