创意安天

 找回密码
 注册创意安天

漏洞风险提示(20240417)

[复制链接]
发表于 2024-4-17 09:30 | 显示全部楼层 |阅读模式
免责声明:以下内容原文来自互联网的公共方式,仅用于有限分享,译文内容不代表安天实验室观点,因此第三方对以下内容进行分享、传播等行为,以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的,若产生法律责任,译者与安天实验室一律不予承担。

1 Apache Zeppelin 命令执行漏洞(CVE-2024-31861)
一、漏洞描述:
        Apache Zeppelin.jpg
        Apache Zeppelin是一个让交互式数据分析变得可行的基于网页的开源框架Zeppelin提供了数据分析、数据可视化等功能。
        Apache Zeppelin中代码生成控制不当(“代码注入"”)漏洞。攻击者可以使用Shell解释器作为代码生成网关,系统org.apache.zeppelin.shell.Shelnterpreter类直接调用/sh来执行命令,没有进行过滤,导致RCE漏洞。

二、风险等级:
        高危
三、影响范围:
        0.10.1<= Apache Zeppelin < 0.11.1
四、修复建议:
        目前厂商已发布升级补丁以修复漏洞,补丁获取链接:
        https://zeppelin.apache.org/


2 网康科技NS-ASG应用安全网关 add_ikev2.php SQL注入漏洞(CVE-2024-3458)
一、漏洞描述:
        网康.jpg
        网康科技的NS-ASG应用安全网关是一款软硬件一体化的产品,集成了SSL和IPSec,旨在保障业务访问的安全性,适配所有移动终端,提供多种链路均衡和选择技术,支持多种认证方式灵活组合,以及内置短信认证、LDAP令牌、USB KEY等多达13种认证方式。
        网康科技NS-ASG应用安全网关存在SQL注入漏洞,未授权的攻击者可以通过该漏洞获取数据库敏感信息。

二、风险等级:
        高危
三、影响范围:
        网康科技NS-ASG应用安全网关
四、临时修复建议:
        1、使用参数化查询:使用参数化查询是防止SQL注入的重要措施之一。参数化查询将用户提供的输入作为参数传递给数据库查询,而不是将其直接拼接到SQL语句中。这样可以确保输入数据被正确地转义和处理,从而防止恶意代码的执行。
        2、输入验证和过滤:在接收用户输入之前,对输入数据进行验证和过滤是很重要的。确保只接受预期的数据类型和格式,并过滤掉可能包含恶意代码的特殊字符。可以使用正则表达式或内置的输入验证函数来实现这一点。
        3、最小权限原则:在数据库配置中,确保应用程序使用的数据库账户具有最小权限。避免使用具有完整数据库访问权限的账户。限制应用程序只能执行需要的数据库操作,这样即使发生SQL注入,攻击者也无法执行敏感的数据库操作。


3 OpenMetadata身份验证绕过漏洞(CVE-2024-28255)
一、漏洞描述:
        OpenMetadata.jpg
        OpenMetadata是一个用于数据治理的一体化平台,可进行数据发现、数据沿袭、数据质量、可观察性、治理和团队协作等。
        OpenMetadata<1.2.4中,当请求的路径包含任何EXCLUDED_ENDPOINTS的端点时,过滤器将返回而不验证JWT,威胁者可构造恶意路径匹配排除的端点导致在没有 JWT 验证的情况下进行处理,从而导致绕过身份验证机制并访问任意端点。

二、风险等级:
        高危
三、影响范围:
        OpenMetadata < 1.2.4
四、修复建议:
        目前厂商已发布升级补丁以修复漏洞,补丁获取链接:
        https://github.com/open-metadata/OpenMetadata/releases


4 LlamaIndex 命令注入漏洞(CVE-2024-3271)
一、漏洞描述:
        LlamaIndex.jpg
        LlamaIndex是Jerry Liu个人开发者的一个 LLM 应用程序的数据框架。LlamaIndex存在命令注入漏洞,该漏洞源于攻击者可以绕过预期的安全机制,在托管应用程序的服务器上进行远程代码执行。
二、风险等级:
        高危
三、影响范围:
        LlamaIndex
四、修复建议:
        目前厂商已发布升级补丁以修复漏洞,补丁获取链接:
        https://github.com/run-llama/lla ... 7fc8849e352613ab475

您需要登录后才可以回帖 登录 | 注册创意安天

本版积分规则

小黑屋|手机版|Archiver|创意安天 ( 京ICP备09068574,ICP证100468号。 )

GMT+8, 2024-5-25 13:43

Powered by Discuz! X3.4

© 2001-2023 Discuz! Team.

快速回复 返回顶部 返回列表