漏洞风险提示（20241122)

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。

---

1 Wget服务器端请求伪造漏洞（CVE-2024-10524）
一、漏洞描述：     
       
        GNU Wget 是一个广泛使用的开源命令行工具，主要用于从网络上下载文件。它由 GNU 项目开发，支持 HTTP、HTTPS 和 FTP 协议，因此可以用于从各种类型的网络服务器获取文件。Wget 1.24.5及之前版本中，由于Wget在处理HTTP简写格式URL时解析不当，错误地将包含冒号（:）的用户输入解析为FTP请求，导致将原本应为HTTP请求的URL错误地解析为FTP请求。攻击者可通过控制简写URL中的用户信息部分（例如malwaredomain:aaa@reliableserver）来改变请求目标，从而将请求发送到恶意服务器，该漏洞可能导致服务器端请求伪造攻击、钓鱼攻击、MITM（中间人）攻击和数据泄露等。
二、风险等级：
        高危
三、影响范围：
        Wget <= 1.24.5
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://mirror.team-cymru.com/gnu/wget/wget-1.25.0.tar.gz

---

2 lxml_html_clean 跨站脚本漏洞（CVE-2024-52595）
一、漏洞描述：     
       
        lxml_html_clean是Fedora Python SIG开源的一个从 lxml.HTML.clean 复制的 HTML 清理功能的单独项目。lxml_html_clean 0.4.0之前版本存在安全漏洞，该漏洞源于特殊标签处理不当，容易受到跨站脚本攻击。
二、风险等级：
        高危
三、影响范围：
        lxml_html_clean < 0.4.0
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://github.com/fedora-python ... GHSA-5jfw-gq64-q45f

---

3 IBM Concert SQL注入漏洞（CVE-2024-52360）
一、漏洞描述：     
       
        IBM Concert是美国国际商业机器（IBM）公司的一种新工具。使用生成式 AI 来帮助管理复杂的云原生应用程序。IBM Concert 1.0.3之前版本存在安全漏洞，该漏洞源于容易受到SQL注入攻击，远程攻击者可以发送特制的SQL语句，从而查看、添加、修改或删除后端数据库中的信息。
二、风险等级：
        高危
三、影响范围：
        IBM Concert < 1.0.3
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://www.ibm.com/support/pages/node/7176346

---

4 Linux kernel 越界读取漏洞（CVE-2024-50301）
一、漏洞描述：     
       
        Linux kernel是美国Linux基金会的开源操作系统Linux所使用的内核。Linux kernel存在安全漏洞，该漏洞源于允许越界读取内存。
二、风险等级：
        高危
三、影响范围：
        Linux kernel
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://git.kernel.org/stable/c/ ... 5dc24e9a7dae7d9f1ce