漏洞风险提示（20230914）

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。

---

1 Adobe Acrobat Reader 代码执行漏洞(CVE-2023-26369)
一、漏洞描述：
       
        Adobe Acrobat是Adobe Inc.开发的一系列应用软件和Web服务，用于查看、创建、操作、打印和管理便携式文档格式(PDF)文件。Adobe Acrobat Reader中存在越界写入漏洞，攻击者通过制作恶意文档并诱使受害者打开，成功利用该漏洞将在受害者系统执行任意代码。
二、风险等级：
        高危
三、影响范围：
        Adobe Acrobat Reader DC<=23.003.20284
        Adobe Acrobat DC<=23.003.20284
        Adobe Acrobat 2020 for Mac<=20.005.30516
        Adobe Acrobat 2020 for Windows<=20.005.30514
        Adobe Acrobat Reader 2020 for Windows<=20.005.30514
        Adobe Acrobat Reader 2020 for Mac<=20.005.30516
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://helpx.adobe.com/security/products/acrobat/apsb23-34.html

---

2 Apache Airflow 信息泄露漏洞(CVE-2023-40712)
一、漏洞描述：
       
        Apache Airflow是用于数据工程管道的开源工作流管理平台。它于2014年10月在Airbnb启动，是管理公司日益复杂的工作流程的解决方案。Apache Airflow 2.7.1 之前的版本受到一个漏洞的影响，该漏洞允许有权查看 UI 中的任务/dag 的经过身份验证的用户创建 URL，这可能会导致任务的秘密配置被揭露，否则将导致任务的秘密配置被泄露。
二、风险等级：
        高危
三、影响范围：
        Apache Airflow < 2.7.1
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://airflow.apache.org/docs/apache-airflow/stable/start.html

---

3 Apache Airflow 授权不当漏洞(CVE-2023-40611)
一、漏洞描述：
       
        Apache Airflow是用于数据工程管道的开源工作流管理平台。它于2014年10月在Airbnb启动，是管理公司日益复杂的工作流程的解决方案。Apache Airflow 2.7.1 之前的版本受到一个漏洞的影响，该漏洞允许经过身份验证和 DAG 视图授权的用户在提交注释时修改某些 DAG 运行详细信息值。
二、风险等级：
        高危
三、影响范围：
        Apache Airflow < 2.7.1
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://airflow.apache.org/docs/apache-airflow/stable/start.html

---

4 Jenkins Job Configuration History插件路径遍历漏洞(CVE-2023-41930)
一、漏洞描述：
       
        该漏洞源于Job Configuration History插件1227.v7a_79fc4dc01f及之前版本在渲染历史记录条目时不限制“name”查询参数，这使得威胁者可以让Jenkins 渲染不是由插件创建的受操纵的配置历史记录。此外，在渲染历史条目时，历史视图未对历史条目中的时间戳值进行属性清理或转义，可结合路径遍历漏洞导致存储型XSS漏洞（CVE-2023-41931），可利用该漏洞在控制器上创建文件。
二、风险等级：
        高危
三、影响范围：
        Assembla Auth 插件：<= 1.14
        AWS CodeCommit Trigger 插件：<= 3.0.12
        Azure AD 插件：<= 396.v86ce29279947
        Bitbucket Push and Pull Request 插件：<= 2.8.3
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://www.jenkins.io/

---