漏洞风险提示（20241120)

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。

---

1 Apache OFBiz远程代码执行漏洞（CVE-2024-47208）
一、漏洞描述：     
       
        Apache OFBiz是一个著名的电子商务平台，提供了创建基于最新J2EE/ XML规范和技术标准，构建大中型企业级、跨平台、跨数据库、跨应用服务器的多层、分布式电子商务类WEB应用系统的框架。Apache OFBiz 18.12.17 之前版本中存在远程代码执行漏洞，由于对URL校验不严格，攻击者可通过构造恶意URL绕过校验逻辑并注入Groovy 表达式代码或触发服务器端请求伪造（SSRF）攻击，导致远程代码执行或访问未授权资源。
二、风险等级：
        高危
三、影响范围：
        Apache OFBiz < 18.12.17
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://ofbiz.apache.org/download.html

---

2 Jenkins Authorize Project 插件中的存储型跨站脚本（Stored XSS）漏洞（CVE-2024-52552）
一、漏洞描述：     
       
        该漏洞主要是因为在授权视图中错误地评估包含作业名称的字符串，可能导致恶意 JavaScript 被注入并执行。攻击者需要具备 “Item/Configure” 权限，利用此漏洞可以向插件注入恶意脚本。当用户访问受影响的功能时，脚本将在浏览器中执行，从而可能导致数据泄露、未授权操作或其他风险。
二、风险等级：
        高危
三、影响范围：
        Jenkins Authorize Project <= 1.7.2
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://www.jenkins.io/security/ ... 1-13/#SECURITY-3010

---

3 PrivateGPT 操作系统命令注入漏洞（CVE-2024-4343）
一、漏洞描述：     
       
        PrivateGPT是Zylon开源的一个 AI 项目。PrivateGPT 0.3.0及之前版本存在操作系统命令注入漏洞，该漏洞源于存在Python命令注入漏洞，攻击者可以在托管应用程序的系统上执行任意命令。
二、风险等级：
        高危
三、影响范围：
        PrivateGPT <= 0.3.0
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://github.com/zylon-ai/private-gpt/releases/tag/v0.6.2

---

4 Apache Traffic Server（ATS） 安全漏洞（CVE-2024-50306）
一、漏洞描述：     
       
        Apache Traffic Server（ATS）是美国阿帕奇（Apache）基金会的一套可扩展的HTTP代理和缓存服务器。Apache Traffic Server（ATS） 9.2.0到9.2.5版本和10.0.0到10.0.1版本存在安全漏洞，该漏洞源于未检查的返回值可能允许在启动时保留权限。
二、风险等级：
        高危
三、影响范围：
        Apache Traffic Server（ATS） 9.2.0 - 9.2.5
        Apache Traffic Server（ATS） 10.0.0 - 10.0.1
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://lists.apache.org/thread/y15fh6c7kyqvzm0f9odw7c5jh4r4np0y