漏洞风险提示（20230803）

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。

---

1 GitLab 正则表达式拒绝服务漏洞(CVE-2023-3994)
一、漏洞描述：

        Gitlab 是一个开源的Git代码仓库系统，可以实现自托管的Github项目，即用于构建私有的代码托管平台和项目管理系统。
        GitLab CE/EE 中发现了一个问题，通过向preview_markdown端点发送使用ProjectReferenceFilter的精心构造的负载，可能导致正则表达式拒绝服务攻击。
二、风险等级：
        高危
三、影响范围：
        9.3 <= GitLab CE/EE < 16.0.8
        16.1 <= GitLab CE/EE < 16.1.3
        16.2 <= GitLab CE/EE < 16.2.2
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://about.gitlab.com/install/

---

2 BoofCV 远程代码执行漏洞(CVE-2023-39010)
一、漏洞描述：

        BoofCV 是一个开源实时计算机视觉库，完全用 Java 编写，并在 Apache License 2.0 下发布。功能包括低级图像处理、 相机校准、特征检测/跟踪、运动结构、分类和识别。
        BoofCV 0.42 存在代码注入漏洞。
二、风险等级：
        高危
三、影响范围：
        BoofCV <= 0.42
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://github.com/lessthanoptimal/BoofCV/releases

---

3 Ruijie EWEB管理 命令注入漏洞(CVE-2023-34644)
一、漏洞描述：

        锐捷部分EWEB管理系统存远程代码注入漏洞，未授权攻击者可利用该漏洞获取设备控制权。
二、风险等级：
        高危
三、影响范围：
        睿易NBS3/5/6/7系列 < SWITCH_3.0(1)B11P219
        睿易EG系列 < EG_3.0(1)B11P219
        睿易EAP/RAP/NBC系列 < AP_3.0(1)B11P219
        星耀EW系列 < EW_3.0(1)B11P219
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://www.ruijie.com.cn/fw/rj-first-2357/

---

4 Duke 远程代码执行漏洞(CVE-2023-39013)
一、漏洞描述：

        Duke 是一个快速、灵活的重复数据删除(或实体解析或记录链接)引擎，在 Lucene 之上用 Java 编写。
        Duke v1.2 及以下版本组件 no.priv.garshol.duke.server.CommonJTimer.init 存在代码注入漏洞。
二、风险等级：
        高危
三、影响范围：
        Duke <= 1.2
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://github.com/larsga/Duke/issues/273

---