漏洞风险提示（20230413)

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内 容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。

---

1 Apache inLong SQL 注入漏洞(CVE-2023-30465)
一、漏洞描述：
       
        Apache inLong是一个开源的、基于Apache Flink技术的数据集成框架，它支持多种数据格式和源，可以进行高效的数据聚合、转换和分析，并且具有高度可扩展性和容错性。 Apache InLong存在SQL 注入漏洞，通过操纵"orderType"参数和返回内容发起SQL注入攻击以获取用户名。
二、风险等级：
        高危
三、影响范围：
        1.4.0 <= Apache InLong <= 1.5.0
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://inlong.apache.org/downloads/

---

2 FortiSOAR 模板注入漏洞(CVE-2023-27995)
一、漏洞描述：
       
        FortiSOAR是一种安全编排、自动化和响应(SOAR)工作台，它可以帮助SOC团队高效地应对日益增加的警报、重复的手动流程和资源短缺的问题 FortiSOAR 管理界面中模板引擎存在漏洞，可能允许远程和经过身份验证的攻击者通过精心设计的有效负载执行任意代码。
二、风险等级：
        高危
三、影响范围：
        7.3.0<=FortiSOAR <=7.3.1
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://www.fortiguard.com/psirt/FG-IR-23-051

---

3 FortiPresence 未授权访问漏洞(CVE-2022-41331)
一、漏洞描述：
       
        FortiPresence是一种基于网络安全技术的实时定位系统，用于帮助组织实现精确的位置识别和访客管理。 FortiPresence 在1.0至1.2之间的版本中存在未授权访问漏洞，允许远程未经认证的攻击者通过精心设计的认证请求访问Redis和MongoDB。
二、风险等级：
        高危
三、影响范围：
        1.0 <= FortiPresence <= 1.2
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://www.fortiguard.com/psirt/FG-IR-22-355

---

4 FortiClient(Windows) 命令注入漏洞(CVE-2022-43946)
一、漏洞描述：
       
        FortiClient是一款全面的终端安全解决方案，集成了防病毒、防恶意软件、VPN、Web过滤和远程访问等多种安全功能，用 于保护终端设备免受各种安全威胁。 FortiClient(Windows)在多个版本中存在命令注入漏洞，攻击者可以利用"关键资源的不正确权限分配"和"检查时间的使用时间(TOCTOU)竞赛条件"多个漏洞，可能允许同一文件共享网络上的攻击者通过向Windows管道中写入数据来执行命令。
二、风险等级：
        高危
三、影响范围：
        7.0.0 <= FortiClient(Windows) <= 7.0.7
        FortiClient(Windows) 6.4.x 全版本
        FortiClient(Windows) 6.2.x 全版本
        FortiClient(Windows) 6.0.x 全版本
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://www.fortiguard.com/psirt/FG-IR-22-429

---