漏洞风险提示（20240419）

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。

---

1 Cisco IMC CLI命令注入漏洞（CVE-2024-20295）
一、漏洞描述：     
       
        Cisco Integrated Management Controller（简称IMC）是一种底板管理控制器，用于通过多个接口管理 UCS C系列机架和UCS S系列存储服务器，包括 XML API、Web (WebUI) 和命令行 (CLI) 接口。
        由于对用户提供的输入验证不足，Cisco IMC CLI中存在命令注入漏洞，经过身份验证的本地威胁者可以通过提交恶意设计的 CLI 命令来利用该漏洞，成功利用可能导致将权限提升至root。
二、风险等级：
           高危
三、影响范围：
        如果以下 Cisco 产品在默认配置中运行易受攻击的 Cisco IMC 版本，则此漏洞会影响这些产品：
        5000 系列企业网络计算系统 (ENCS)
        Catalyst 8300 系列 Edge uCPE
        独立模式下的 UCS C 系列机架式服务器
        UCS E 系列服务器
        基于Cisco UCS C系列服务器预配置版本的思科设备如果公开对Cisco IMC CLI 的访问，也会受到影响，目前已知包括以下思科产品：
        5520 和 8540 无线控制器
        应用程序策略基础设施控制器 (APIC) 服务器
        商业版 6000 和 7000 设备
        Catalyst Center Appliances，以前称为 DNA 中心 (DNAC)
        云服务平台 (CSP) 5000 系列
        公共服务平台收集器 (CSPC) 设备
        互联移动体验 (CMX) 设备
        互联安全 UCS 平台系列服务器
        Cyber Vision Center设备
        Expressway系列设备
        HyperFlex Edge节点
        无 Fabric 互连（DC-NO-FI）部署模式 HyperFlex 数据中心中的 HyperFlex 节点
        IEC6400 Edge Compute设备
        IOS XRv 9000 设备
        Meeting Server 1000 设备
        Nexus 仪表板设备
        Prime Infrastructure设备
        Prime Network Registrar Jumpstart设备
        Secure Email Gateways
        Secure Email 和 Web Manager
        Secure Endpoint Private Cloud设备
        Secure Firewall Management Center设备，以前称为 Firepower 管理中心
        Secure Malware Analytics 设备
        Secure Network Analytics 设备
        Secure Network Server 设备
        Secure Web 设备
        Secure Workload Servers
        Telemetry Broker 设备
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://sec.cloudapps.cisco.com/ ... mc-cmd-inj-mUx4c5AJ

---

2 MySQL Connectors拒绝服务漏洞（CVE-2024-21090）
一、漏洞描述：     
       
        Oracle MySQL 的 MySQL Connectors 产品（组件：Connector/Python）中存在漏洞，可能导致未经身份验证的威胁者通过多种协议进行网络访问来破坏 MySQL连接器。成功利用可能导致MySQL连接器挂起或频繁重复崩溃，从而造成拒绝服务。
二、风险等级：
           高危
三、影响范围：
        MySQL Connectors<=8.3.0
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://www.oracle.com/security-alerts/cpuapr2024.html

---

3 MySQL Server拒绝服务漏洞（CVE-2024-21015）
一、漏洞描述：     
       
        Oracle MySQL 的 MySQL Server 产品（组件：Server: DML）中存在漏洞，拥有高权限的威胁者可通过多种协议进行网络访问来破坏 MySQL 服务器。成功利用可能导致MySQL 服务器挂起或频繁重复崩溃，以及对某些MySQL Server可访问数据的未经授权更新、插入或删除访问。
二、风险等级：
           高危
三、影响范围：
        MySQL Server<=8.0.34
        MySQL Serve<=8.3.0
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://www.oracle.com/security-alerts/cpuapr2024.html

---

4 Oracle WebLogic Server信息泄露漏洞（CVE-2024-21006）
一、漏洞描述：     
       
        Oracle WebLogic Server 产品（组件：Core）中存在漏洞，未经身份验证的威胁者可通过 T3、IIOP 进行网络访问来破坏 Oracle WebLogic Server，成功利用可能导致对关键数据的未授权的访问或对所有Oracle WebLogic Server可访问数据的完全访问，造成敏感信息泄露。
二、风险等级：
           高危
三、影响范围：
        Oracle WebLogic   Server12.2.1.4.0
        Oracle WebLogic   Server14.1.1.0.0
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://www.oracle.com/security-alerts/cpuapr2024.html