漏洞风险提示（20231115）
免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。1 XXL-JOB 默认 accessToken 权限绕过(VUL-2023-11003)
一、漏洞描述：
XXL-JOB 是一款开源的分布式任务调度平台，用于实现大规模任务的调度和执行。 XXL-JOB 默认配置下，用于调度通讯的 accessToken 是 application.properties 配置文件中的默认值。在生产环境中，若没有更改默认配置，攻击者可利用默认token去绕过认证，执行任意代码，从而获取服务器权限。
二、风险等级：
高危
三、影响范围：
xxl-job <= 2.4.0
四、修复建议：
目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
https://www.xuxueli.com/xxl-job/#5.10%20%E8%AE%BF%E9%97%AE%E4%BB%A4%E7%89%8C%EF%BC%88AccessToken%EF%BC%89
2 SAP NetWeaver Application Server(CVE-2023-41366)
一、漏洞描述：
SAP NetWeaver Application Server是德国思爱普（SAP）公司的一款应用程序服务器。
SAP NetWeaver Application Server ABAP存在安全漏洞。攻击者利用该漏洞可以访问敏感数据。
二、风险等级：
高危
三、影响范围：
SAP NetWeaver Application Server ABAP
四、修复建议：
目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
https://me.sap.com/notes/3362849
3 SAP Business One 访问控制错误漏洞(CVE-2023-31403)
一、漏洞描述：
SAP Business One是德国思爱普（SAP）公司的一套企业管理软件。该软件包括财务管理、运营管理和人力资源管理等功能。
SAP Business One 10.0版本存在访问控制错误漏洞，该漏洞源于会对 SMB 共享文件夹执行正确的身份验证和授权检查。攻击者利用该漏洞可以读取和写入 SMB 共享文件夹。
二、风险等级：
高危
三、影响范围：
SAP Business One 10.0
四、修复建议：
目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
https://me.sap.com/notes/3355658
4 Kyverno 安全漏洞(CVE-2023-42814)
一、漏洞描述：
Kyverno是Kyverno开源的一个为 Kubernetes 设计的策略引擎。
Kyverno v1.11.0之前版本存在安全漏洞。攻击者利用该漏洞导致系统拒绝服务。
二、风险等级：
高危
三、影响范围：
Kyverno <= v1.11.0
四、修复建议：
目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
https://github.com/kyverno/kyverno/releases/tag/v1.11.0
页:
[1]