漏洞风险提示（20230417）

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内 容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。

---

1 IBM AIX 命令执行漏洞(CVE-2023-28528)
一、漏洞描述：
       
        IBM AIX是IBM公司开发的一种UNIX操作系统，主要运行在IBM的Power架构服务器上，具有高可靠性、可扩展性和安全性等特点。 IBM AIX 可能允许非特权本地用户利用 invscout 命令中的漏洞执行任意命令。
二、风险等级：
        高危
三、影响范围：
        7.1 <= IBM AIX <= 7.2.5.6
        3.1.0 <= IBM VIOS <= 3.1.4.20
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://aix.software.ibm.com/aix ... y/invscout_fix4.tar

---

2 Spring Expression 拒绝服务漏洞(CVE-2023-20863)
一、漏洞描述：
       
        Spring表达式是一种强大的语言，用于访问和操作在Spring应用程序中定义的对象或属性。 在 Spring Framework 版本 6.0.0 - 6.0.7、5.3.0 - 5.3.26、5.2.0.RELEASE - 5.2.23.RELEASE 和不受支持的旧版本中，用户可以提供特制的 SpEL 表达式这可能会导致拒绝服务 (DoS) 情况。
二、风险等级：
        高危
三、影响范围：
        6.0.0 <= Spring Framework <= 6.0.7
        5.3.0 <= Spring Framework <= 5.3.26
        5.2.0.RELEASE <= Spring Framework <= 5.2.23.RELEASE
        Spring Framework 更旧的版本
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://github.com/spring-projects/spring-framework

---

3 Zoho ManageEngine ADManager Plus 命令注入漏洞(CVE-2023-29084)
一、漏洞描述：
       
        Zoho ManageEngine ADManager Plus是一款功能强大的Active Directory管理工具。 Zoho ManageEngine ADManager Plus 在Build 7181版本之前存在命令注入漏洞，经过身份认证的攻击者可以通过代理设置的功能点进行命令注入，从而控制服务器。
二、风险等级：
        高危
三、影响范围：
        Zoho ManageEngine ADManager Plus < Build 7181
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://www.manageengine.com/pro ... cve-2023-29084.html

---

4 Froxlor 文件上传漏洞(CVE-2023-2034)
一、漏洞描述：
       
        Froxlor是一款免费、开源、易于使用的Web托管控制面板，支持Linux平台。 Froxlor在2.0.14版本之前存在文件上传漏洞 ，通过 trick 可以绕过系统的过滤，由此经过身份认证的攻击者可以上传任意后缀名的文件。
二、风险等级：
        中危
三、影响范围：
        Froxlor < 2.0.14
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://github.com/froxlor/froxl ... 1448198b11f96eb3bc6

---