漏洞风险提示（20230220）

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。

---

1 GitLab CE/EE文件包含漏洞(CVE-2023-22490)
一、漏洞描述：     

    使用特制的存储库，即使在使用非本地传输时，Git也可以被诱导使用其本地克隆优化。因此，攻击者可以在恶意存储库的工作副本中包含基于受害者文件系统上已知路径的任意文件，导致信息泄露。
二、风险等级：
    高危
三、影响范围：
    14.1 <= GitLab CE/EE < 15.6.8、 15.7 <= GitLab CE/EE < 15.7.7 、15.8 <= GitLab CE/EE < 15.8.2
四、修复建议：
    目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
https://about.gitlab.com/update/

---

2 Vim拒绝服务攻击漏洞(CVE-2023-0054)
一、漏洞描述：     

    Vim存在安全漏洞，该漏洞源于函数do_string_sub中的内存越界写入，攻击者利用该漏洞可以触发拒绝服务，并可能运行代码。
二、风险等级：
    高危
三、影响范围：
    Vim 9.0.1144
四、修复建议：
    目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
https://github.com/vim/vim/commi ... 30088256360435f7731

---

3 Huawei HarmonyOS AMS模块权限提升漏洞(CVE-2022-44558)
一、漏洞描述：     

    Huawei HarmonyOS存在权限提升漏洞，该漏洞源于AMS模块存在序列化与反序列化不匹配问题。攻击者可利用漏洞进行权限提升。
二、风险等级：
    高危
三、影响范围：
    Huawei HarmonyOS 2.0
    Huawei EMUI 11.0.1
    Huawei EMUI 12.0.0
    Huawei HarmonyOS 2.1
    Huawei EMUI 12.0.1
四、修复建议：
    目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
https://device.harmonyos.com/cn/ ... 11-0000001440896653

---

4 OpenSSL拒绝服务攻击漏洞(CVE-2023-0217)
一、漏洞描述：     

    当应用程序试图通过EVP_PKEY_public_check()函数检查格式错误的DSA公钥时，可能会触发读取时的无效指针解引用。这很可能导致应用程序崩溃。此函数可以对来自不受信任来源的公钥调用，这可能允许攻击者引起拒绝服务攻击。OpenSSL中的TLS实现不调用此函数，但如果FIPS 140-3等标准施加了额外的安全要求，则应用程序可能会调用该函数。
二、风险等级：
    高危
三、影响范围：
    OpenSSL < 3.0.8
四、修复建议：
    目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
https://www.openssl.org/source/

---