# 005_ESB安全漏洞说明及补丁方案
| 注：【备注】为3rd为第三方的补丁 | ||||||
| 序号 | 小补丁号 | 补丁主题 | 产品版本 | 产品模块 | 补充说明 | 备注 |
| 1 | ESB_9.0.0_SERVER_20250410_P1 | 解决问题：ESB9.0GA,扫描出漏洞：CVE-2024-8184 | ESB9.0.0 | SERVER | ||
| 2 | ESB_8.6_GOVERNOR_20240912_P1 | ESB8.6，扫描出CORS(跨站资源共享)原始验证失败漏洞，CORS漏洞是当前服务器对跨源资源的配置不当，导致允许任意源来共享服务器资源，从而导致用户数据泄露、客户端缓存中毒或者服务端缓存中毒。出补丁处理 | ESB8.6 | SERVER | ||
| 3 | ESB_8.0.0_GOVERNOR_20240830_P1 | 补丁解决ESB8.0扫描出链接注入的漏洞：链接注入是将某个URL嵌入到被攻击的网站上，进而修改站点页面。被嵌 入的URL包含恶意代码，可能窃取正常用户的用户名、密码，也可能窃取 或操纵认证会话，以合法用户的身份执行相关操作 | ESB8.0 | GOVERNOR | ||
| 4 | ESB_9.0LA_SERVER_20240823_P1 | 解决：安全扫描出jetty漏洞：(CVE-2024-22201)，(CVE-2023-26048)，(CVE-2023-41900)，CVE-2023-36479)，CVE-2023-40167)，CVE-2023-26049) | ESB9.0LA | SERVER | ||
| 5 | ESB_8.6GA_20240606_P1 | ESB8.6, XStream远程命令执行漏洞(CVE-2021-39144) | ESB8.6 | SERVER | ||
| 6 | ESB_9.0LA_SERVER_20231222_P1 | 解决jetty漏洞， CVE-2023-44487，CVE-2023-26049，CVE-2023-26048 | 9.0LA | SERVER | ||
| 7 | ESB_9.0LA_GOVERNOR_20230304_P1 | ESB9存在SQL注入的漏洞，前端传入的参数直接拼接到SQL查询语句中执行，存在SQL注入 | 9.0LA | SERVER | ||
| 8 | ESB_8.0.0_GOVERNOR_20221028_P1 | ESB8.0,安全扫描出产品漏洞：SQL注入、跨站点请求伪造、API成批分配、API缺乏资源和速率限制四个方面的安全漏洞 | ESB8.0 | GOVERNOR | ||
| 9 | ESB_8.0.0_GOVERNOR_20221028_P1 | ESB8.0,安全扫描出产品漏洞：SQL注入、跨站点请求伪造、API成批分配、API缺乏资源和速率限制四个方面的安全漏洞 | ESB8.0 | GOVERNOR | ||
| 10 | ESB_8.0.0_GOVERNOR_20220905_C1 | 解决ESB8.0GA，http://ip:port/governor/login明文密码传输安全漏洞问题 | ESB8.0 | GOVERNOR | ||
| 11 | ESB_6.7.0_SERVER_20220719_C1 | ESB6.7，存在漏洞CVE-2021-344，Eclipse Jetty是Eclipse基金会的一个开源的、基于Java的Web服务器和Java Servlet容器。 Eclipse Jetty 9.4.37-9.4.42、10.0.1-10.0.5和 11.0.1-11.0.5版本存在安全漏洞，攻击者可以使用一些编码字符制作 URI 来访问 WEB-INF 目录的内容或绕过一些安全限制。 | ESB6.7 | SERVER | 3rd | |
| 12 | ESB_6.3.0_console&sam_20220706_C1 | ESB6.3,Apache Tomcat 7.0.x < 7.0.100 / 8.5.x < 8.5.51 / 9.0.x < 9.0.31 多个漏洞,出现漏洞CVE-2020-1935，CVE-2019-17569 | ESB6.3 | ESB Console | console升级：jdk版本需为1.7.0_67 1. | 3rd |
| 13 | ESB_6.7.0_SERVER_20220706_C1 | ESB6.7，存在漏洞CVE-2021-28165，Eclipse Jetty是Eclipse基金会的一个开源的、基于Java的Web服务器和Java Servlet容器。 Eclipse Jetty 7.2.2 to 9.4.38, 10.0.0.alpha0 to 10.0.1, and 11.0.0.alpha0 to 11.0.1 存在资源管理错误漏洞，该漏洞源于接收到较大的无效TLS帧后，CPU使用率可以达到100％ | ESB6.7 | SERVER | 3rd | |
| 14 | ESB_8.0.0_SERVER_20220407_P1 | ESB80，Eclipse Jetty 信息泄露漏洞(CVE-2019-10247)问题解决； | ESB8.0 | SERVER | 3rd | |
| 15 | ESB_8.0.0_20211214_P1 | 解决问题： Apache Tomcat漏洞问题： Apache Tomcat 资源管理错误漏洞(CVE-2020-11996) Apache Tomcat 缓冲区错误漏洞(CVE-2020-13934) Apache Tomcat 拒绝服务漏洞(CVE-2021-41079) Apache Tomcat 资源管理错误漏洞(CVE-2021-42340) Apache Tomcat 信息泄露漏洞（CVE-2020-17527） Apache Tomcat 安全漏洞（CVE-2021-25122） Apache Tomcat 安全漏洞(CVE-2020-13935) Apache Tomcat 安全漏洞(CVE-2020-9484) Apache Tomcat 安全漏洞（CVE-2021-25329） | ESB8.0 | SERVER | 3rd | |
| 16 | ESB_8.0.0_GOVERNOR_20211126_C1 | ESB8.0平台安全漏洞，垂直越权（中危）等3个漏洞问题，详细见描述，请提供补丁处理：1、垂直越权（中危）：ESB系统存在越权问题，该文件可能泄漏敏感信息2、慢速DOS拒绝服务攻击（中危）：ESB系统存在慢速DOS拒绝服务攻击问题，通过精心的设计和构造，这种特殊的请求包会造成服务器延时，而当服务器负载能力消耗过大即会导致拒绝服务可通过修改bootstrap.yml中server.maxConnections（调大）和server.connectionTimeout（调小，单位ms）进行测试3、反射型XSS（中危）：ESB系统存在反射型XSS问题，网站将用户输入的内容输出到页面上，恶意代码被浏览器执行 | ESB8.0 | GOVERNOR | ||
| 17 | ESB_SERVER_20210702_P1 | Apache ActiveMQ有三个漏洞问题：CVE-2018-11775：攻击者可利用该漏洞在使用ActiveMQ客户端的Java应用程序和ActiveMQ server之间实施中间人攻击，CVE-2019-0222：攻击者可利用该漏洞造成代理关闭。CVE-2018-8006：远程攻击者可利用该漏洞在用户浏览器中执行任意脚本代码。 | ESB8.0 | SERVER | 3rd | |
| 18 | ESB_8.0.0_SERVER_20210702_P1 | Apache ActiveMQ有三个漏洞问题：CVE-2018-11775：攻击者可利用该漏洞在使用ActiveMQ客户端的Java应用程序和ActiveMQ server之间实施中间人攻击，CVE-2019-0222：攻击者可利用该漏洞造成代理关闭。CVE-2018-8006：远程攻击者可利用该漏洞在用户浏览器中执行任意脚本代码。 | ESB8.0 | SERVER | 3rd | |
| 19 | ESB_6.5.1_SERVER_20210326_C1 | 解决ESB6.5.1，被扫描出Eclipse Jetty HTTP请求走私漏洞（CVE-2017-7656）,使用该补丁前提是jdk版本必须升级到JDK 1.8.0_172。 | ESB6.5.1 | SERVER | 使用该补丁前提是jdk版本必须升级到JDK 1.8.0_172 | 3rd |
| 20 | ESB_6.6.0_SERVER_20210305_C1 | 解决ESB6.6 危险漏洞（ CVE-2019-10247）问题 | ESB6.6 | SERVER | JDK版本为1.7的适用 | 3rd |
| 21 | ESB_6.6.0_20201105_P1 | 解决ESB6.6，端口1099和7888反序列化漏洞问题 | ESB6.6 | GOVERNOR、SERVER | ||
| 22 | ESB_6.6.0_SECURITY_20200707_C1 | 安全扫描漏洞(Cookie与用户ID未绑定、任意用户密码重置、无关业务端口开放、CSRF漏洞、慢速DOS攻击系统无法响应) | ESB6.6 | GOVERNOR | ||
| 23 | ESB_6.6.0.0_Governor_20180306_P1 | 解决安全扫描出跨站点脚本编制漏洞问题 | ESB6.6 | GOVERNOR | 3rd | |
| 24 | ESB_6.5.1.0_Sam_20180104_C1 | 解决ESB sam安全扫描richweb插件xss漏洞问题 | ESB6.5.1 | ESB SAM | 3rd | |
| 25 | ESB_6.5.1.0_console&sam_20171204_P1 | ESB651升级tomacat7后安全漏洞以及页面报错补丁合并 | ESB6.5.1 | ESB Console | ||
| 26 | ESB_console_6.5.1.0_20171124_C1 | 绿盟软件扫描governor（tomacat升级到tomacat7）安全漏洞问题 | ESB6.5.1 | ESB Console | 3rd | |
| 27 | ESB_6.6.0.0_20170329_P1 | ESB安全扫描跨站点脚本编制漏洞补丁 | ESB6.6 | ESB Console | 3rd | |