找回密码
 注册创意安天

漏洞风险提示(20241120)

[复制链接]
发表于 2024-11-20 09:05 | 显示全部楼层 |阅读模式
免责声明:以下内容原文来自互联网的公共方式,仅用于有限分享,译文内容不代表安天实验室观点,因此第三方对以下内容进行分享、传播等行为,以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的,若产生法律责任,译者与安天实验室一律不予承担。

1 Apache OFBiz远程代码执行漏洞(CVE-2024-47208)
一、漏洞描述:     
        Apache OFBiz.jpg
        Apache OFBiz是一个著名的电子商务平台,提供了创建基于最新J2EE/ XML规范和技术标准,构建大中型企业级、跨平台、跨数据库、跨应用服务器的多层、分布式电子商务类WEB应用系统的框架。Apache OFBiz 18.12.17 之前版本中存在远程代码执行漏洞,由于对URL校验不严格,攻击者可通过构造恶意URL绕过校验逻辑并注入Groovy 表达式代码或触发服务器端请求伪造(SSRF)攻击,导致远程代码执行或访问未授权资源。
二、风险等级:
        高危
三、影响范围:
        Apache OFBiz < 18.12.17
四、修复建议:
        目前厂商已发布升级补丁以修复漏洞,补丁获取链接:
        https://ofbiz.apache.org/download.html


2 Jenkins Authorize Project 插件中的存储型跨站脚本(Stored XSS)漏洞(CVE-2024-52552)
一、漏洞描述:     
        Jenkins.jpg
        该漏洞主要是因为在授权视图中错误地评估包含作业名称的字符串,可能导致恶意 JavaScript 被注入并执行。攻击者需要具备 “Item/Configure” 权限,利用此漏洞可以向插件注入恶意脚本。当用户访问受影响的功能时,脚本将在浏览器中执行,从而可能导致数据泄露、未授权操作或其他风险。
二、风险等级:
        高危
三、影响范围:
        Jenkins Authorize Project <= 1.7.2
四、修复建议:
        目前厂商已发布升级补丁以修复漏洞,补丁获取链接:
        https://www.jenkins.io/security/ ... 1-13/#SECURITY-3010


3 PrivateGPT 操作系统命令注入漏洞(CVE-2024-4343)
一、漏洞描述:     
        PrivateGPT.jpg
        PrivateGPT是Zylon开源的一个 AI 项目。PrivateGPT 0.3.0及之前版本存在操作系统命令注入漏洞,该漏洞源于存在Python命令注入漏洞,攻击者可以在托管应用程序的系统上执行任意命令。
二、风险等级:
        高危
三、影响范围:
        PrivateGPT <= 0.3.0
四、修复建议:
        目前厂商已发布升级补丁以修复漏洞,补丁获取链接:
        https://github.com/zylon-ai/private-gpt/releases/tag/v0.6.2


4 Apache Traffic Server(ATS) 安全漏洞(CVE-2024-50306)
一、漏洞描述:     
        Apache Traffic Server.jpg
        Apache Traffic Server(ATS)是美国阿帕奇(Apache)基金会的一套可扩展的HTTP代理和缓存服务器。Apache Traffic Server(ATS) 9.2.0到9.2.5版本和10.0.0到10.0.1版本存在安全漏洞,该漏洞源于未检查的返回值可能允许在启动时保留权限。
二、风险等级:
        高危
三、影响范围:
        Apache Traffic Server(ATS) 9.2.0 - 9.2.5
        Apache Traffic Server(ATS) 10.0.0 - 10.0.1

四、修复建议:
        目前厂商已发布升级补丁以修复漏洞,补丁获取链接:
        https://lists.apache.org/thread/y15fh6c7kyqvzm0f9odw7c5jh4r4np0y
您需要登录后才可以回帖 登录 | 注册创意安天

本版积分规则

Archiver|手机版|小黑屋|创意安天 ( 京ICP备09068574,ICP证100468号。 )

GMT+8, 2024-11-23 01:36

Powered by Discuz! X3.5

© 2001-2024 Discuz! Team.

快速回复 返回顶部 返回列表