漏洞风险提示（20240722)

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。

---

1 Sharp 多功能打印机 未授权访问漏洞(CVE-2024-33605)
一、漏洞描述：     
       
        夏普（SHARP）打印机作为一款在市场上备受关注的打印设备，以其出色的性能、多样化的功能和节能环保的特点，赢得了广泛的用户群体。夏普打印机在没有身份验证的情况下容易受到任意目录列表的攻击。任何攻击者都可以列出打印机中的任何目录并恢复任何文件。
二、风险等级：
        高危
三、影响范围：
        Sharp Multifunction Printers
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://www.sharp.cn/download

---

2 WordPress Plugin email-subscribers SQL注入漏洞(CVE-2024-2876)
一、漏洞描述：     
       
        WordPress和WordPress plugin都是WordPress基金会的产品。WordPress是一套使用PHP语言开发的博客平台。该平台支持在PHP和MySQL的服务器上架设个人博客网站。WordPress plugin是一个应用插件。WordPress Plugin email-subscribers 5.7.14之前的版本存在SQL注入漏洞，该漏洞源于 IG_ES_Subscribers_Query 中的 run函数对用户提供的参数转义不充分，攻击者利用该漏洞可以将额外的 SQL 查询附加到现有的查询中，从数据库中提取敏感信息。
二、风险等级：
        高危
三、影响范围：
        WordPress Plugin email-subscribers < 5.7.14
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://cn.wordpress.org/plugins/email-subscribers

---

3 JumpServer文件写入代码执行漏洞（CVE-2024-40629）
一、漏洞描述：     
       
        JumpServer是一款开源堡垒主机和运维安全审计系统。JumpServer v3.0.0 - v3.10.11版本中存在任意文件写入漏洞，具有低权限用户帐户的攻击者可利用Ansible playbook写入任意文件，从而导在Celery容器中执行任意代码。由于Celery容器以root权限运行并具有数据库访问权限，因此可能导致窃取主机上的敏感信息、创建具有管理员权限的新JumpServer帐户或操纵数据库。
二、风险等级：
        高危
三、影响范围：
        JumpServer v3.0.0 - v3.10.11  
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://github.com/jumpserver/jumpserver/tags

---

4 Cisco Smart Software Manager On-Prem密码更改漏洞（CVE-2024-20419）
一、漏洞描述：     
       
        Cisco Smart Software Manager On Prem（SSM On Prem）是一种智能许可解决方案，使客户能够在其场所管理产品和许可证。Cisco Secure Email Gateway（SEG）是思科公司推出的一种电子邮件安全解决方案，旨在保护企业免受垃圾邮件、恶意软件、网络钓鱼和其他基于电子邮件的威胁的侵害。由于密码更改流程实施不当，Cisco Smart Software Manager On-Prem身份验证系统中存在漏洞，未经身份验证的远程威胁者可通过向受影响的设备发送恶意设计的 HTTP 请求来利用该漏洞，从而更改任意用户的密码并可能导致以该用户权限访问Web UI 或 API。
二、风险等级：
        高危
三、影响范围：
        Cisco SSM On-Prem / Cisco SSM Satellite 版本<= 8-202206
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://www.cisco.com/c/en/us/support/index.html