漏洞风险提示（20230625）

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。

---

1 Langchain 任意代码执行漏洞(CVE-2023-34541)
一、漏洞描述：
       
        langchain是一个用于开发由语言模型驱动的应用程序的框架。它是一个开源的Python库，封装了大量相关逻辑和代码实现，开发者们可以直接调用，大大加速了构建一个应用的速度。
        攻击者可以利用load_prompt执行任意代码获取系统权限，窃取敏感信息或破坏系统。
二、风险等级：
        高危
三、影响范围：
        LangChain 0.0.171
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://github.com/hwchase17/langchain/releases

---

2 Apache Accumulo 身份验证绕过漏洞 (CVE-2023-34340)
一、漏洞描述：
       
        Apache Accumulo是一个基于Google BigTable的分布式键值存储系统，用于管理和存储大规模非结构化数据 。
        攻击者可以利用该漏洞提供无效凭据来绕过用户身份验证，从而访问敏感数据或执行恶意操作 。
二、风险等级：
        高危
三、影响范围：
        Apache Accumulo <= 2.1.0
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://accumulo.apache.org/downloads/

---

3 Zyxel NAS设备命令注入漏洞(CVE-2023-27992)
一、漏洞描述：
       
        合勤科技(ZyXEL)是国际知名的网络宽带系统及解决方案供应商。
        在未经身份验证的攻击者通过发送特制HTTP请求远程执行系统命令，从而造成设备被破坏或被控制。
二、风险等级：
        高危
三、影响范围：
        NAS326型号：版本<= V5.21(AAZF.13)C0
        NAS540型号：版本<= V5.21(AATB.10)C0
        NAS542型号：版本<= V5.21(ABAG.10)C0
四、修复建议：
    目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://www.zyxel.com/global/en/support/download?model=nas326

---

4 Fortinet FotiOS & FortiProxy拒绝服务漏洞(CVE-2023-33306)
一、漏洞描述：
       
        Fortinet(飞塔)是一家全球知名的网络安全产品和安全解决方案提供商，其产品包括防火墙和VPN、防病毒软件、入侵防御系统和终端安全组件等。
        由于FotiOS & FortiProxy SSL-VPN 中存在空指针取消引用漏洞，经过身份验证的攻击者可通过特制请求触发SSL-VPN服务崩溃，造成拒绝服务。
二、风险等级：
        高危
三、影响范围：
        Fortinet FortiOS 版本：7.2.0 - 7.2.4
        Fortinet FortiOS 版本：7.0.0 - 7.0.10
        Fortinet FortiProxy 版本：7.2.0 - 7.2.2
        Fortinet FortiProxy 版本：7.0.0 - 7.0.8
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://docs.fortinet.com/product/fortigate/7.4
        https://docs.fortinet.com/product/fortiproxy/7.2

---