漏洞风险提示（20230724）

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。

---

1 OpenSSH ssh-agent 客户端远程代码执行漏洞(CVE-2023-38408)
一、漏洞描述：

        SSH-Agent是SSH的一部分，它是一个用于管理私钥并支持公钥身份验证的程序。用户使用 SSH-Agent 转发代理功能连接攻击者恶意服务器时，由于 SSH-Agent 未对加载的共享库进行限制,攻击者可通过将恶意共享库作为参数传递给 SSH-Agent 并通过其调用dlopen/dlclose函数加载/卸载位于用户客户端主机的共享库，实现远程代码执行。
二、风险等级：
        高危
三、影响范围：
        openssh < 9.3p2-1
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://www.openssh.com/openbsd.html

---

2 Foxit 福昕PDF阅读器 Field Calculate 释放后使用漏洞(CVE-2023-27379)
一、漏洞描述：

        Foxit PDF阅读器是福昕软件公司推出的一款广泛使用的PDF文档阅读器。在受影响版本中，由于其javascript引擎存在use-after-free漏洞，攻击者可以构造恶意的PDF文件，通过文件中包含的deletePages()等操作使福昕PDF阅读器过早删除与页面关联的对象，并触发重用逻辑，可能导致任意代码执行漏洞。
二、风险等级：
        高危
三、影响范围：
        12.1.2.15332 <= Foxit PDF Reader < 12.1.3
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://www.foxitsoftware.cn/downloads/

---

3 Xiamen Four Letter Video Surveillance Management System 授权不当(CVE-2023-3805)
一、漏洞描述：

        在厦门四信视频监控管理系统中发现了一个被列为关键的漏洞。此问题影响Login组件中UserInfoAction.class库中的一些未知处理。该漏洞可导致授权不当，使攻击者可以远程发起攻击。
二、风险等级：
        高危
三、影响范围：
        四信视频监控系统 <= 20230712
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        http://www.four-faith.com/

---

4 InfoDoc 文档在线提交和审批系统任意文件上传漏洞(CVE-2023-37289)
一、漏洞描述：

        在InfoDoc文档在线提交和审批系统的文件上传功能中，发现了一个“无限制上传危险类型文件”的漏洞，这使得未经身份验证的远程攻击者可以在不登录系统的情况下利用该漏洞上传和运行任意可执行文件以执行任意系统命令或中断服务。
二、风险等级：
        高危
三、影响范围：
        电子公文系统 = 22547
        电子公文系统 = 22567
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://www.infodoc.com.tw/

---