漏洞风险提示（20230717）

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内 容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。

---

1 Apache StreamPipes权限提升漏洞(CVE-2023-31469)
一、漏洞描述：

    Apache StreamPipes是美国阿帕奇(Apache)基金会的一个自助式(工业)物联网工具箱，使非技术用户能够连接、分析和探索IIoT数据流。Apache StreamPipes存在权限提升漏洞，该漏洞是由于未能正确地将REST接口限制为仅限管理员访问造成的。攻击者可利用此漏洞在系统上获得提升的权限。
二、风险等级：
    高危
三、影响范围：
    Apache StreamPipes >=0.69.0，<=0.91.0
四、修复建议：
    目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
    https://streampipes.apache.org/download.html

---

2 Apache Airflow信息泄露漏洞(CVE-2023-35005)
一、漏洞描述：

    Apache Airflow是美国阿帕奇(Apache)基金会的一套用于创建、管理和监控工作流程的开源平台。Apache Airflow存在信息泄露漏洞，该漏洞源程序对于敏感信息保护不足，攻击者可利用此漏洞获取敏感信息。
二、风险等级：
    高危
三、影响范围：
    Apache Airflow >=2.5.0,<2.6.2
四、修复建议：
    目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
    https://github.com/apache/airflow/releases/tag/2.6.2

---

3 Apache Struts拒绝服务漏洞(CVE-2023-34396)
一、漏洞描述：

    Apache Struts是美国阿帕奇(Apache)基金会的一个开源项目，是一套用于创建企业级Java Web应用的开源MVC框架，主要提供两个版本框架产品，Struts 1和Struts 2。Apache Struts存在拒绝服务漏洞，该漏洞是由于在处理包含非文件格式字段的Multipart请求时存在缺陷造成的。攻击者可利用此漏洞造成拒绝服务。
二、风险等级：
    高危
三、影响范围：
    Apache struts <2.5.31,Apache struts >=6.0.0，<6.1.2.1
四、修复建议：
    目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
    https://struts.apache.org/download.cgi

---

4 Chamilo LMS命令执行漏洞(CVE-2023-34960)
一、漏洞描述：

    Chamilo LMS是Chamilo协会的一套开源的在线学习和协作系统。该系统支持创建教学内容、远程培训和在线答题等。Chamilo LMS存在命令执行漏洞，攻击者可利用该漏洞通过构造的SOAP参数执行任意命令。
二、风险等级：
    高危
三、影响范围：
    Chamilo Chamilo LMS <=1.11.18
四、修复建议：
    目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
    https://chamilo.org/en/download/

---