Liferay 是一个开源的 Portal 产品,提供对多个独立系统的内容集成,为企业信息、流程等的整合提供了一套完整的解决方案,和其他商业产品相比, Liferay 有着很多优良的特性,而且免费,在全球都有较多用户。 近日,Code White 公开了在 Liferay Portal 中发现的 JSON 反序列化高危漏洞,未授权的攻击者可以通过精心构造的恶意数据对 API 接口发起远程代码执行的攻击。

WebLogic 是 Oracle 公司开发的一款适用于云环境和传统环境的应用服务中间件，它提供了一个现代轻型开发平台，支持应用从开发到生产的整个生命周期管理，并简化了应用的部署和管理。 近日，监测到一个 WebLogic 远程代码执行漏洞，攻击者可以远程访问 Weblogic Server 服务器上的接口，传入恶意数据，从而获取服务器权限并在未授权情况下远程执行任意代码。截至2020年3月26日下午，官方尚未发布针对该漏洞的更新。

3月23日,微软发布了 Adobe Type Manager（ATM）库中两个漏洞的公告，在所有版本的 Windows 中都可以找到集成的 PostScript 字体库。虽然 ATM库 的名称来自 Adobe 开发的工具 ATM Light，但是微软在2007年发布的 Windows Vista 中包含了对 ATM 字体的本地支持。因此，这些漏洞存在于支持 PostScript 字体的 Windows 本机集成中。利用这些漏洞可能导致在受影响的系统上执行代码。微软建议用户采取临时解决方案，以降低风险，直到下月补丁可用。

2020年03月18日，openwall oss-security 邮件组披露了两枚漏洞。在特定配置下 nginx/openresty 存在内存泄漏漏洞/目录穿越漏洞。 Nginx 是异步框架的网页服务器，也可以用作反向代理、负载平衡器和 HTTP 缓存。 OpenResty 是一个基于 nginx 的 Web 平台，它对 nginx 增加 LuaJIT 引擎使其运行 Lua 脚本。 该两枚漏洞均需要特定配置方可触发。

2020年3月18日，Adobe 官方发布针对 Adobe Coldfusion 的安全更新补丁，编号为 APSB20-16。补丁中包含两个漏洞，Adobe ColdFusion 任意文件读取（CVE-2020-3761）和任意文件包含（CVE-2020-3794）漏洞。 本次漏洞与 Adobe ColdFusion 的 AJP connectors 相关。Adobe ColdFusion 在处理 AJP 协议的数据包时存在实现缺陷，导致相关参数可控。攻击者可通过向目标发送精心构造的 AJP 协议数据包读取目标服务器 wwwroot 目录下的任意文件，也可将目标服务器 wwwroot 及其子目录下的任意文件当作 jsp 文件来解释执行。若目标服务器下的文件可控，可进一步实现远程代码执行。

3月17日，VMware 官方发布编号为 VMSA-2020-0005 的安全公告，修复了存在于 VMware Fusion，VMRC for Mac 和 Horizon Client for Mac 中的权限提升漏洞（CVE-2020-3950），由于 VMware 错误的使用了 setuid，攻击者利用此漏洞可将目标系统中的普通用户权限提升至管理员权限。

通达 OA（Office Anywhere）网络智能办公系统是适用于企事业单位的通用型网络办公软件，是中国用户群最大的 OA 软件品牌。融合了通达科技长期从事管理软件开发的丰富经验与先进技术，并采用领先的 B/S(浏览器/服务器)操作方式，使得网络办公不受地域限制。 近日，通达 OA 系统用户遭遇勒索病毒攻击事件，经分析该事件使用的漏洞是存在于通达某接口的未授权文件包含，攻击者通过未授权的上传页面或其他方式构造恶意文件，然后包含恶意文件触发远程代码执行。

2020 年 3 月 10 日，思科 Talos 团队和 Fortinet 公司发布了一个 Smbv3 的 0day 漏洞，漏洞评级为最高等级，3 月 12 日官方布补丁信息。 Microsoft 通过 Microsoft Server Message Block 3.1.1（SMBv3）协议处理某些请求的方式中存在一个远程代码执行漏洞，成功利用此漏洞的攻击者可以在目标 SMB 服务器或 SMB 客户端上执行任意代码。