漏洞风险提示（20240411）

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。

---

1 Windows SmartScreen 安全功能绕过漏洞(CVE-2024-29988)
一、漏洞描述：
       
        Windows是由微软公司（Microsoft）开发的操作系统，应用于计算机和平板电脑等设备。Windows SmartScreen 是 Windows 操作系统中的一项安全功能，旨在帮助保护用户免受恶意软件和不信任的应用程序的攻击。
        该漏洞允许攻击者绕过 SmartScreen 警告并执行恶意软件。攻击者可以通过在应用程序中包含精心设计的代码来实现此目的。该代码会欺骗 SmartScreen 将应用程序视为安全应用程序，从而允许应用程序运行而不会显示警告。
二、风险等级：
        高危
三、影响范围：
        Windows 11 Version 23H2<10.0.22631.3447
        Windows 10 Version 22H2<10.0.19045.4291
        Windows 11 Version 22H2<10.0.22621.3435
        Windows 11 version 21H2<10.0.22000.2899
        Windows Server 2022<10.0.20348.2402
        Windows 10 Version 21H2<10.0.19044.4291
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://msrc.microsoft.com/updat ... sory/CVE-2024-29988

---

2 Rust命令注入漏洞(CVE-2024-24576)
一、漏洞描述：
       
        Rust是一种通用、编译型编程语言，强调性能、类型安全和并发性，支持函数式、并发式、过程式以及面向对象的编程风格。
        Rust标准库1.77.2 版本之前，在 Windows 上使用Command API 调用批处理文件（带有bat和cmd扩展名）时，Rust 标准库没有正确转义批处理文件的参数，能够控制传递给生成进程的参数的攻击者可绕过转义执行任意shell 命令。
二、风险等级：
        高危
三、影响范围：
        Rust < 1.77.2（Windows平台）
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://blog.rust-lang.org/2024/04/09/Rust-1.77.2.html

---

3 SAP BusinessObject Business Intelligence Launch Pad 信息泄露漏洞(CVE-2024-25646)
一、漏洞描述：
       
        SAP BusinessObject Business Intelligence Launch Pad是德国思爱普（SAP）公司的适用于Business Intelligence platform的Web控制面板。
        SAP BusinessObject Business Intelligence Launch Pad 4.2版本和4.3版本存在信息泄露漏洞，该漏洞源于验证不当，允许经过身份验证的攻击者使用精心设计的文档访问操作系统信息。
二、风险等级：
        高危
三、影响范围：
        SAP BusinessObject Business Intelligence Launch Pad 4.2
        SAP BusinessObject Business Intelligence Launch Pad 4.3
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://support.sap.com/en/my-su ... ews/april-2024.html

---

4 Apache Zeppelin 输入验证错误漏洞(CVE-2024-31860)
一、漏洞描述：
       
        Apache Zeppelin是美国阿帕奇（Apache）基金会的一款基于Web的开源笔记本应用程序。该程序支持交互式数据分析和协作文档。
        Apache Zeppelin 0.9.0 到 0.11.0版本存在输入验证错误漏洞，该漏洞源于通过添加相对路径指示符，攻击者可以查看服务器帐户，访问文件系统中任何文件的内容。
二、风险等级：
        高危
三、影响范围：
        Apache Zeppelin 0.9.0 - 0.11.0
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://lists.apache.org/thread/c0zfjnow3oc3dzc8w5rbkzj8lqj5jm5x

---