漏洞风险提示（20241108)

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。

---

1 Google Chrome Serial释放后重用漏洞（CVE-2024-10827）
一、漏洞描述：     
       
        Google Chrome是由Google公司开发的一款网页浏览器。在Chrome中，Serial组件是一个API接口，允许网站直接与连接在本地计算机上的串行设备（如Arduino、嵌入式开发板等）通信；Family Experiences组件可用于帮助家长管理孩子的在线活动和设备使用。Google Chrome 130.0.6723.116之前版本在Serial组件中存在Use-After-Free漏洞，攻击者可能通过恶意设计的网页或脚本来诱导用户访问包含恶意代码的页面，从而在访问串行端口的过程中触发该漏洞，成功利用可能导致浏览器崩溃、窃取数据甚至控制连接的设备、远程代码执行和沙箱逃逸等。
二、风险等级：
        高危
三、影响范围：
        Google Chrome（Windows/Mac）版本 < 130.0.6723.116/.117
        Google Chrome（Linux）版本 < 130.0.6723.116
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://www.google.cn/chrome/  

---

2 Cisco Unified Industrial Wireless Software命令注入漏洞（CVE-2024-20418）
一、漏洞描述：     
       
        由于对基于Web的管理界面的输入验证不当造成的。攻击者可以通过向受影响系统的基于 Web 的管理界面发送精心设计的HTTP请求来利用此漏洞。成功利用此漏洞可使攻击者在受影响设备的底层操作系统上以root权限执行任意命令。
二、风险等级：
        高危
三、影响范围：
        Cisco Aironet Access Point Software (IOS XE Controller) = N/A
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://sec.cloudapps.cisco.com/ ... -ap-cmdinj-R7E28Ecs

---

3 HAPI FHIR 外部实体注入漏洞（CVE-2024-51132）
一、漏洞描述：     
       
        HAPI FHIR是HAPI FHIR开源的一个Java编写的 HL7 FHIR API。HAPI FHIR v6.4.0之前版本存在安全漏洞，该漏洞源于存在外部实体引用，允许攻击者通过提供包含恶意XML实体的精心构造的请求，来访问敏感信息或执行任意代码。
二、风险等级：
        高危
三、影响范围：
        HAPI FHIR < v6.4.0
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://github.com/hapifhir/org.hl7.fhir.core/releases/tag/6.4.0

---

4 Adobe Substance 3D Painter 缓冲区错误漏洞（CVE-2024-49522）
一、漏洞描述：     
       
        Adobe Substance 3D Painter是美国奥多比（Adobe）公司的一个3D纹理处理应用程序。Adobe Substance 3D Painter 10.0.1版本及之前版本存在缓冲区错误漏洞。攻击者利用该漏洞可以在当前用户的环境中执行任意代码。
二、风险等级：
        高危
三、影响范围：
        Adobe Substance 3D Painter <= 10.0.1  
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://helpx.adobe.com/security ... nter/apsb24-52.html