漏洞风险提示（20230804）

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。

---

1 Mirth Connect 远程命令执行漏洞(CVE-2023-37679)
一、漏洞描述：

        Mirth Connect是一个开源的跨平台的接口集成引擎，主要用于医疗领域的系统集成和数据交换，支持多种协议和标准，如HL7。
        Mirth Connect 在 4.3.0 及之前版本中存在远程命令执行 (RCE) 漏洞，允许攻击者在托管服务器上执行任意命令。
二、风险等级：
        高危
三、影响范围：
        Mirth Connect <= 4.3.0
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://github.com/nextgenhealthcare/connect/releases/tag/4.4.0

---

2 BIG-IP 跨站脚本漏洞(CVE-2023-38138)
一、漏洞描述：

        BIG-IP是F5公司的一系列硬件产品，它的主要职能就是对进出此设备的网络流量进行管理。
        在 BIG-IP 配置工具的一个未公开页面中存在反射型跨站脚本攻击(XSS)漏洞，该漏洞允许攻击者以当前已登录用户的身份运行 JavaScript 代码。
二、风险等级：
        高危
三、影响范围：
        17.0.0 <= BIG-IP <= 17.1.0
        16.1.0 <= BIG-IP <= 16.1.3
        15.1.0 <= BIG-IP <= 15.1.9
        14.1.0 <= BIG-IP <= 14.1.5
        13.1.0 <= BIG-IP <= 13.1.5
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://my.f5.com/manage/s/article/K000133474

---

3 Compass 远程代码执行漏洞(CVE-2023-39023)
一、漏洞描述：

        Compass 是一个基于Lucene构建的开源项目，旨在简化搜索，可以集成到任何Java应用程序中。
        Compass 在 2.2.0 及之前版本中存在远程代码执行漏洞。攻击者通过配置ldap进行远程加载，从而进行远程代码执行，进而控制服务器 。
二、风险等级：
        高危
三、影响范围：
        Compass <= 2.2.0
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://mvnrepository.com/artifact/org.compass-project/compass

---

4 drawio 命令注入漏洞(CVE-2023-3975)
一、漏洞描述：

        drawio是一个免费开源的跨平台绘图软件，它可以让你在网页或桌面上创建和编辑各种类型的图表，如流程图、思维导图、组织结构图、UML图等。
        drawio 在 21.5.0 版本之前存在命令注入漏洞。
二、风险等级：
        高危
三、影响范围：
        drawio < 21.5.0
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://github.com/jgraph/drawio-desktop/releases/tag/v21.6.5

---