漏洞风险提示（20240806)

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。

---

1 streamlit-geospatial 远程代码执行漏洞（CVE-2024-41112）
一、漏洞描述：     
       
        streamlit-geospatial是Open Geospatial Solutions开源的一个适用于地理空间应用的 streamlit 多页应用程序。streamlit-geospatial 存在安全漏洞，该漏洞源于 pages/1_??_Timelapse.py 中的 palette 变量接受用户输入，该输入随后在 eval 函数中使用，从而导致远程代码执行。
二、风险等级：
        高危
三、影响范围：
        streamlit-geospatial
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://github.com/opengeos/streamlit-geospatial/

---

2 OpenAM 模板注入漏洞（CVE-2024-41667）
一、漏洞描述：     
       
        OpenAM是OpenAM Consortium组织的一种一体化访问管理解决方案。提供身份验证、授权、授权和联合功能。OpenAM 15.0.3版本及之前版本存在安全漏洞，该漏洞源于使用用户输入而容易受到模板注入攻击。
二、风险等级：
        高危
三、影响范围：
        OpenAM <= 15.0.3
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://github.com/OpenIdentityP ... 4fe954cb150c568e0b8

---

3 DuckDB 访问控制漏洞（CVE-2024-41672）
一、漏洞描述：     
       
        DuckDB是DuckDB开源的一个进程内 SQL OLAP 数据库管理系统。DuckDB 1.0.0及之前的版本存在安全漏洞，该漏洞源于即使在enable_external_access被禁用的情况下sniff_csv也能提供文件系统访问，从而导致攻击者能够访问文件系统。
二、风险等级：
        高危
三、影响范围：
        DuckDB <= 1.0.0
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://github.com/duckdb/duckdb ... GHSA-w2gf-jxc9-pf2q

---

4 Google Chrome 内存越界访问漏洞（CVE-2024-6992）
一、漏洞描述：     
       
        Google Chrome是美国谷歌（Google）公司的一款Web浏览器。Google Chrome存在安全漏洞，该漏洞源于ANGLE中允许内存越界访问。
二、风险等级：
        高危
三、影响范围：
        Google Chrome
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://chromereleases.googleblog.com/