漏洞风险提示（20240411）
免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。1 Windows SmartScreen 安全功能绕过漏洞(CVE-2024-29988)
一、漏洞描述：
Windows是由微软公司（Microsoft）开发的操作系统，应用于计算机和平板电脑等设备。Windows SmartScreen 是 Windows 操作系统中的一项安全功能，旨在帮助保护用户免受恶意软件和不信任的应用程序的攻击。
该漏洞允许攻击者绕过 SmartScreen 警告并执行恶意软件。攻击者可以通过在应用程序中包含精心设计的代码来实现此目的。该代码会欺骗 SmartScreen 将应用程序视为安全应用程序，从而允许应用程序运行而不会显示警告。
二、风险等级：
高危
三、影响范围：
Windows 11 Version 23H2<10.0.22631.3447
Windows 10 Version 22H2<10.0.19045.4291
Windows 11 Version 22H2<10.0.22621.3435
Windows 11 version 21H2<10.0.22000.2899
Windows Server 2022<10.0.20348.2402
Windows 10 Version 21H2<10.0.19044.4291
四、修复建议：
目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2024-29988
2 Rust命令注入漏洞(CVE-2024-24576)
一、漏洞描述：
Rust是一种通用、编译型编程语言，强调性能、类型安全和并发性，支持函数式、并发式、过程式以及面向对象的编程风格。
Rust标准库1.77.2 版本之前，在 Windows 上使用Command API 调用批处理文件（带有bat和cmd扩展名）时，Rust 标准库没有正确转义批处理文件的参数，能够控制传递给生成进程的参数的攻击者可绕过转义执行任意shell 命令。
二、风险等级：
高危
三、影响范围：
Rust < 1.77.2（Windows平台）
四、修复建议：
目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
https://blog.rust-lang.org/2024/04/09/Rust-1.77.2.html
3 SAP BusinessObject Business Intelligence Launch Pad 信息泄露漏洞(CVE-2024-25646)
一、漏洞描述：
SAP BusinessObject Business Intelligence Launch Pad是德国思爱普（SAP）公司的适用于Business Intelligence platform的Web控制面板。
SAP BusinessObject Business Intelligence Launch Pad 4.2版本和4.3版本存在信息泄露漏洞，该漏洞源于验证不当，允许经过身份验证的攻击者使用精心设计的文档访问操作系统信息。
二、风险等级：
高危
三、影响范围：
SAP BusinessObject Business Intelligence Launch Pad 4.2
SAP BusinessObject Business Intelligence Launch Pad 4.3
四、修复建议：
目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
https://support.sap.com/en/my-support/knowledge-base/security-notes-news/april-2024.html
4 Apache Zeppelin 输入验证错误漏洞(CVE-2024-31860)
一、漏洞描述：
Apache Zeppelin是美国阿帕奇（Apache）基金会的一款基于Web的开源笔记本应用程序。该程序支持交互式数据分析和协作文档。
Apache Zeppelin 0.9.0 到 0.11.0版本存在输入验证错误漏洞，该漏洞源于通过添加相对路径指示符，攻击者可以查看服务器帐户，访问文件系统中任何文件的内容。
二、风险等级：
高危
三、影响范围：
Apache Zeppelin 0.9.0 - 0.11.0
四、修复建议：
目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
https://lists.apache.org/thread/c0zfjnow3oc3dzc8w5rbkzj8lqj5jm5x
页:
[1]