漏洞风险提示（20241226)
免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。1 Adobe ColdFusion路径遍历漏洞（CVE-2024-53961）
一、漏洞描述：
Adobe ColdFusion 是一种商业化的开发平台，主要用于创建和维护动态网页和Web应用程序。Adobe ColdFusion 2023 Update 11及之前版本、ColdFusion 2021 Update 17及之前版本中存在路径遍历漏洞，该漏洞可能导致未经身份验证的远程攻击者绕过应用程序的访问限制，从而读取受限目录之外的文件或目录，成功利用该漏洞可能导致敏感信息泄露或系统数据被操纵。
二、风险等级：
高危
三、影响范围：
Adobe ColdFusion 2023 <= Update 11
Adobe ColdFusion 2021 <= Update 17
四、修复建议：
目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
https://www.adobe.com/products/coldfusion-family.html
2 Apache Hive & Spark信息泄露漏洞（CVE-2024-23945）
一、漏洞描述：
Apache Hive 和 Apache Spark 是两个广泛用于大数据生态系统的开源框架，主要用于处理和分析大规模数据集。Apache Hive 和 Apache Spark 的CookieSigner 逻辑存在安全漏洞，当签名验证失败时，系统错误地将正确的签名值暴露给用户，导致攻击者可以通过构造错误的 Cookie 请求触发签名验证失败并获取有效签名，成功利用该漏洞可能允许攻击者伪造合法的 Cookie，从而绕过认证机制，导致未授权访问，并可能进一步引发会话劫持、权限提升等攻击。
二、风险等级：
高危
三、影响范围：
1.2.0 <= Apache Hive < 4.0.0
2.0.0 <= Apache Spark < 3.0.0
3.0.0 <= Apache Spark < 3.3.4
3.4.0 <= Apache Spark < 3.4.2
Apache Spark 3.5.0
四、修复建议：
目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
https://github.com/apache/spark/tags
3 Red Hat Service Interconnect 使用有缺陷的身份验证方法漏洞（CVE-2024-12582）
一、漏洞描述：
Red Hat Service Interconnect是美国红帽（Red Hat）公司的 是基于开源项目 Skupper 构建的，主要用于简化跨混合云环境的应用连接性。Red Hat Service Interconnect存在安全漏洞，该漏洞源于使用有缺陷的身份验证方法，可能导致任意文件读取或拒绝服务。
二、风险等级：
高危
三、影响范围：
Red Hat Service Interconnect
四、修复建议：
目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
https://access.redhat.com/security/cve/cve-2024-12582
4 Vaultwarden 权限检查不足漏洞（CVE-2024-56335）
一、漏洞描述：
Vaultwarden是Daniel Garcia个人开发者的一个用 Rust 编写的 Bitwarden 服务器 API 的替代实现。Vaultwarden 1.32.6之前版本存在安全漏洞，该漏洞源于对组织内组功能的权限检查不足，允许满足特定条件的攻击者更新或删除不属于其管理的组织中的组。
二、风险等级：
高危
三、影响范围：
Vaultwarden < 1.32.6
四、修复建议：
目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
https://github.com/dani-garcia/vaultwarden/security/advisories/GHSA-g65h-982x-4m5m
页:
[1]