漏洞风险提示（20230907）

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。

---

1 Spring-Kafka 反序列化漏洞(CVE-2023-34040)
一、漏洞描述：
       
        在 Spring for Apache Kafka 3.0.9及更早版本和 2.9.10及更早版本中，存在一种可能的反序列化攻击向量，但只有在应用了异常配置的情况下才会出现，默认情况下不受该漏洞影响。
二、风险等级：
        高危
三、影响范围：
        2.8.1<=Spring-Kafka<=2.9.10
        3.0.0<=Spring-Kafka<=3.0.9
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://github.com/spring-projec ... b0907ec00df930d324b

---

2 华硕路由器远程代码执行漏洞（CVE-2023-39238）
一、漏洞描述：
       
        华硕 RT-AX55、RT-AX56U_V2 和 RT-AC86U 路由器缺少对iperf-related API模块“ser_iperf3_svr.cgi”上的输入格式字符串的正确验证，未经身份验证的远程威胁者可利用该漏洞造成服务中断、在受影响设备上远程执行代码或执行任意操作。
二、风险等级：
        高危
三、影响范围：
        RT-AX55: 3.0.0.4.386_50460
        RT-AX56U_V2: 3.0.0.4.386_50460
        RT-AC86U: 3.0.0.4_386_51529
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://www.asus.com/networking- ... ?model2Name=RT-AX55

---

3 MinIO权限提升漏洞（CVE-2023-28434）
一、漏洞描述：
       
        MinIO版本RELEASE.2023-03-20T20-16-18Z 之前，威胁者可以使用恶意设计的请求来绕过元数据存储桶名称检查，并在处理“PostPolicyBucket”时将对象放入任何存储桶中,安装 MinIO 应用程序的后门版本,导致未授权远程代码执行。
二、风险等级：
        高危
三、影响范围：
        MinIO版本< RELEASE.2023-03-20T20-16-18Z
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://github.com/minio/minio/tags

---

4 Apache Axis 远程代码执行漏洞(CVE-2023-40743)
一、漏洞描述：
       
        系统中的"ServiceFactory#getService"方法存在潜在危险调用方法，如果用户传入恶意的jndiName值，则会导致应用程序任意代码执行。
二、风险等级：
        高危
三、影响范围：
        Apache Axis 1.x < 2023.08.02
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://github.com/apache/axis-a ... 0125e448d2791723210

---