漏洞风险提示（20230731）

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。

---

1 JeecgBoot<3.5.3 存在 sql 注入漏洞(CVE-2023-38992)
一、漏洞描述：

        JeecgBoot 是一款开源的的低代码开发平台。受影响版本中，由于 SysDictController#loadTreeData 未对用户传入的 sql 字符进行过滤，具有登陆权限的攻击者可向 /sys/dict/loadTreeData 端点发送恶意的 http 请求进行sql注入，进而获取后台数据库信息(如管理员密码等)。
二、风险等级：
        高危
三、影响范围：
        jeecg-system-biz < 3.5.3
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://github.com/jeecgboot/jeecg-boot/releases/tag/v3.5.3

---

2 PowerJob<=4.3.3 远程代码执行漏洞(CVE-2023-37754)
一、漏洞描述：

        PowerJob 是一款开源的分布式任务调度框架。由于 PowerJob 未对网关进行鉴权，4.3.3 及之前版本中，未经授权的攻击者可向 /instance/detail 端点发送恶意构造的 instanceId 参数远程执行任意代
码。
二、风险等级：
        高危
三、影响范围：
        1.0.0 <= powerjob-server <= 4.3.3
四、修复建议：
        目前厂商未发布修复补丁，可按如下方式进行缓解措施：
        对 api 端点进行鉴权或移除内置 shell 执行模块。
3 Apache NiFi 远程资源检索功能存在命令注入漏洞(CVE-2023-36542)
一、漏洞描述：

        Apache NiFi 是一个开源的数据流处理和自动化工具。Apache NiFi 1.23.0之前版本中包含使用 HTTP URL 进行远程资源检索的 Processors 和 Controller Services，但是未限制普通身份用户配置此功能。经过身份验证的攻击者可配置恶意的外部资源引用地址，当组件加载攻击者可控的恶意配置文件或附加库时触发远程代码执行。
二、风险等级：
        高危
三、影响范围：
        0.0.1-incubating <= nifi-api < 1.23.0
        0.0.1-incubating <= nifi-nar-bundles < 1.23.0
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://github.com/apache/nifi/c ... 77f762e9ddacc91fdd8

---

4 Ivanti Endpoint Manager Mobile任意文件写入漏洞(CVE-2023-35081)
一、漏洞描述：

        在Ivanti Endpoint Manager Mobile(EPMM)中发现了一个漏洞。此漏洞影响所有受支持的版本—11.10、11.9和11.8版。该漏洞使经过身份验证的管理员能够执行对EPMM服务器的任意文件写入。成功利用此漏洞可将恶意文件写入设备，最终允许恶意行为者作为tomcat用户在设备上执行操作系统命令。
二、风险等级：
        高危
三、影响范围：
        Endpoint Manager = 11.10
        Endpoint Manager = 11.9
        Endpoint Manager = 11.8
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://forums.ivanti.com/s/arti ... rite?language=en_US

---