漏洞风险提示（20231115）

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。

---

1 XXL-JOB 默认 accessToken 权限绕过(VUL-2023-11003)
一、漏洞描述：
       
        XXL-JOB 是一款开源的分布式任务调度平台，用于实现大规模任务的调度和执行。 XXL-JOB 默认配置下，用于调度通讯的 accessToken 是 application.properties 配置文件中的默认值。在生产环境中，若没有更改默认配置，攻击者可利用默认token去绕过认证，执行任意代码，从而获取服务器权限。
二、风险等级：
        高危
三、影响范围：
        xxl-job <= 2.4.0
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://www.xuxueli.com/xxl-job/ ... ccessToken%EF%BC%89

---

2 SAP NetWeaver Application Server(CVE-2023-41366)
一、漏洞描述：
       
        SAP NetWeaver Application Server是德国思爱普（SAP）公司的一款应用程序服务器。
        SAP NetWeaver Application Server ABAP存在安全漏洞。攻击者利用该漏洞可以访问敏感数据。
二、风险等级：
        高危
三、影响范围：
        SAP NetWeaver Application Server ABAP
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://me.sap.com/notes/3362849

---

3 SAP Business One 访问控制错误漏洞(CVE-2023-31403)
一、漏洞描述：
       
        SAP Business One是德国思爱普（SAP）公司的一套企业管理软件。该软件包括财务管理、运营管理和人力资源管理等功能。
        SAP Business One 10.0版本存在访问控制错误漏洞，该漏洞源于会对 SMB 共享文件夹执行正确的身份验证和授权检查。攻击者利用该漏洞可以读取和写入 SMB 共享文件夹。
二、风险等级：
        高危
三、影响范围：
        SAP Business One 10.0
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://me.sap.com/notes/3355658

---

4 Kyverno 安全漏洞(CVE-2023-42814)
一、漏洞描述：
       
        Kyverno是Kyverno开源的一个为 Kubernetes 设计的策略引擎。
        Kyverno v1.11.0之前版本存在安全漏洞。攻击者利用该漏洞导致系统拒绝服务。
二、风险等级：
        高危
三、影响范围：
        Kyverno <= v1.11.0
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://github.com/kyverno/kyverno/releases/tag/v1.11.0

---