漏洞风险提示（20230907）
免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。1 Spring-Kafka 反序列化漏洞(CVE-2023-34040)
一、漏洞描述：
在 Spring for Apache Kafka 3.0.9及更早版本和 2.9.10及更早版本中，存在一种可能的反序列化攻击向量，但只有在应用了异常配置的情况下才会出现，默认情况下不受该漏洞影响。
二、风险等级：
高危
三、影响范围：
2.8.1<=Spring-Kafka<=2.9.10
3.0.0<=Spring-Kafka<=3.0.9
四、修复建议：
目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
https://github.com/spring-projects/spring-kafka/commit/ddd1a96561e70599d8332b0907ec00df930d324b
2 华硕路由器远程代码执行漏洞（CVE-2023-39238）
一、漏洞描述：
华硕 RT-AX55、RT-AX56U_V2 和 RT-AC86U 路由器缺少对iperf-related API模块“ser_iperf3_svr.cgi”上的输入格式字符串的正确验证，未经身份验证的远程威胁者可利用该漏洞造成服务中断、在受影响设备上远程执行代码或执行任意操作。
二、风险等级：
高危
三、影响范围：
RT-AX55: 3.0.0.4.386_50460
RT-AX56U_V2: 3.0.0.4.386_50460
RT-AC86U: 3.0.0.4_386_51529
四、修复建议：
目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
https://www.asus.com/networking-iot-servers/wifi-routers/all-series/rt-ax55/helpdesk_bios/?model2Name=RT-AX55
3 MinIO权限提升漏洞（CVE-2023-28434）
一、漏洞描述：
MinIO版本RELEASE.2023-03-20T20-16-18Z 之前，威胁者可以使用恶意设计的请求来绕过元数据存储桶名称检查，并在处理“PostPolicyBucket”时将对象放入任何存储桶中,安装 MinIO 应用程序的后门版本,导致未授权远程代码执行。
二、风险等级：
高危
三、影响范围：
MinIO版本< RELEASE.2023-03-20T20-16-18Z
四、修复建议：
目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
https://github.com/minio/minio/tags
4 Apache Axis 远程代码执行漏洞(CVE-2023-40743)
一、漏洞描述：
系统中的"ServiceFactory#getService"方法存在潜在危险调用方法，如果用户传入恶意的jndiName值，则会导致应用程序任意代码执行。
二、风险等级：
高危
三、影响范围：
Apache Axis 1.x < 2023.08.02
四、修复建议：
目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
https://github.com/apache/axis-axis1-java/commit/7e66753427466590d6def0125e448d2791723210
页:
[1]