漏洞风险提示（20230109）

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。

---

1 Linux缓冲区溢出漏洞(CVE-2022-47518)
一、漏洞描述：     

    在6.0.11之前的Linux内核中发现了一个问题。当从Wi-Fi管理帧复制操作通道列表时，WILC1000无线驱动中的drivers/net/wireless/microchip/wilc1000/cfg80211.c中缺少通道数量的验证会触发基于堆的缓冲区溢出。
二、风险等级：
    高危
三、影响范围：
    linux < 6.0.11
四、修复建议：
    目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
https://lists.debian.org/debian- ... 22/12/msg00031.html

---

2 Huawei CV81-WDM FW命令注入漏洞(CVE-2022-32203)
一、漏洞描述：     

    Huawei CV81-WDM FW 01.70.49.29.46存在命令注入漏洞。攻击者可利用该漏洞获得打印机的最高权限。
二、风险等级：
    高危
三、影响范围：
    Huawei CV81-WDM FW 01.70.49.29.46
四、修复建议：
    目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
https://www.huawei.com/cn/psirt/ ... 0601-01-6b47c6b6-cn

---

3 XStream 堆栈溢出漏洞(CVE-2022-41966)
一、漏洞描述：     

    XStream将Java对象序列化为XML，然后再序列化回来。1.4.20之前的版本可能允许远程攻击者使用堆栈溢出错误终止应用程序，仅通过操作已处理的输入流导致拒绝服务。该攻击使用集合和映射的哈希代码实现强制递归哈希计算，导致堆栈溢出。
二、风险等级：
    高危
三、影响范围：
    XStream < 1.4.20
四、修复建议：
    目前厂商暂未发布修复措施解决此安全问题，建议关注厂商主页或参考网址以获取解决办法：
https://github.com/x-stream/xstr ... GHSA-j563-grx4-pjpv

---

4 FortiTester命令注入漏洞(CVE-2022-35845)
一、漏洞描述：     

    FortiTester 7.1.0、7.0所有版本、4.0.0到4.2.0、2.3.0到3.9.1中对操作系统命令(“操作系统命令注入”)漏洞[CWE-78]中使用的特殊元素的多次不当中立可能允许经过身份验证的攻击者在底层shell中执行任意命令。
二、风险等级：
    高危
三、影响范围：
    FortiTester 7.1.0、7.0
FortiTester 4.0.0-4.2.0
FortiTester 2.3.0-3.9.1
四、修复建议：
    目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
https://fortiguard.com/psirt/FG-IR-22-274