漏洞风险提示（20230719）

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。

---

1 IBM i 权限管理漏洞(CVE-2023-30988)
一、漏洞描述：

        IBM i是IBM为IBM Power®服务器开发的操作系统。它的核心特征是“集成”，代表了IBM i中的“i”，可以帮助您用更少的资源和更高的可靠性从先进技术中获得更多价值 。
        IBM i 可允许远程攻击者以 QUSER 身份执行 CL 命令，这是由利用 DDM 体系结构造成的。IBM i的传真支持产品包含本地权限提升漏洞。对主机操作系统具有命令行访问权限的恶意行为者，可以通过提权获得对主机操作系的root访问权限。
二、风险等级：
        高危
三、影响范围：
        IBM I = 7.2、7.3、7.4、7.5
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://www.ibm.com/support/pages/node/7012355

---

2 MOVEit Transfer SQL注入漏洞(标记为 CVE-2023-36934)
一、漏洞描述：

        在MOVEit Transfer web应用程序中发现了一个SQL注入漏洞，该漏洞可能使未经身份验证的攻击者获得对MOVEit Transfer 数据库的未经授权的访问。攻击者可以向MOVEit Transfer应用程序终结点提交精心编制的payload，这可能导致MOVEit数据库内容的修改和泄露。
二、风险等级：
        高危
三、影响范围：
        MOVEit Transfer < 12.1.11
        13.0.0 <= MOVEit Transfer < 13.0.9
        13.1.0 <= MOVEit Transfer < 13.1.7
        14.0.0 <= MOVEit Transfer < 14.0.7
        14.1.0 <= MOVEit Transfer < 14.1.8
        15.0.0 <= MOVEit Transfer < 15.0.4
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://community.progress.com/s ... vice-Pack-July-2023

---

3 Cisco SD-WAN vManage REST API漏洞(CVE-2023-20214)
一、漏洞描述：

        Cisco SD-WAN vManage软件的REST API请求身份验证验证中存在漏洞，使得未经身份验证的远程攻击者能够获得受影响Cisco SDK-WAN vManage实例配置的读取权限或有限的写入权限。
二、风险等级：
        高危
三、影响范围：
        IOS XE
        IOS XE SD-WAN
        SD-WAN cEdge Routers
        SD-WAN vBond Orchestrator Software
        SD-WAN vEdge Cloud Routers
        SD-WAN vEdge Routers
        SD-WAN vSmart Controller Software
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://sec.cloudapps.cisco.com/ ... ity_policy.html#ssu

---

4 wmanager SQL注入漏洞(CVE-2023-36293 )
一、漏洞描述：

        wmanager v.1.0.7及之前版本中存在SQL注入漏洞。该漏洞允许远程攻击者通过特制的compy.php组件脚本获取敏感信息。
二、风险等级：
        高危
三、影响范围：
        vmanager <= v.1.0.7
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        http://wmanager.org/

---