漏洞风险提示（20221227）

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。

---

1 Google Android权限提升漏洞（CVE-2022-20469）
一、漏洞描述：     
       
        Google Android是美国谷歌（Google）公司的一套以Linux为基础的开源操作系统。
        Google Android存在安全漏洞，攻击者可利用该漏洞提升权限。
二、风险等级：
           高危
三、影响范围：
        Google Android 10
        Google Android 11
        Google Android 13
        Google Android 12
        Google Android 12L
四、修复建议：
        厂商尚未提供漏洞修复方案，请关注厂商主页更新：
        https://www.android.com/

---

2 用友网络科技股份有限公司U8+渠道管理存在SQL注入漏洞（CNVD-2022-88373）
一、漏洞描述：     
       
        用友创立于1988年，是全球领先的企业云服务与软件提供商。
        用友网络科技股份有限公司U8+渠道管理存在SQL注入漏洞，攻击者可利用漏洞获取数据库敏感信息。
二、风险等级：
           高危
三、影响范围：
        用友网络科技股份有限公司 U8+渠道管理
四、修复建议：
        厂商尚未提供漏洞修复方案，请关注厂商主页更新：
        http://www.yonyou.com/

---

3 Siemens Simcenter STAR-CCM+权限提升漏洞（CVE-2022-43517）
一、漏洞描述：     
       
        Siemens Simcenter STAR-CCM+是德国西门子（Siemens）公司的一个完整的多物理场解决方案，可对真实条件下工作的产品和设计进行仿真。
        Siemens Simcenter STAR-CCM+存在安全漏洞，该漏洞源于不适当地将文件权限分配给安装文件夹。攻击者利用该漏洞覆盖或修改可执行服务，从而获得更高的特权。
二、风险等级：
           高危
三、影响范围：
        Siemens Simcenter STAR-CCM+ null
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://cert-portal.siemens.com/productcert/pdf/ssa-930100.pdf

---

4 Strapi SQL注入漏洞（CVE-2022-31367）
一、漏洞描述：     
        Strapi是一套开源的内容管理系统（CMS）。
        Strapi 3.6.10之前版本和4.0.0及其之后，4.1.10之前版本存在SQL注入漏洞，该漏洞源于其错误地处理admin API响应中的隐藏属性。攻击者可利用漏洞获取数据库数据。
二、风险等级：
           高危
三、影响范围：
        strapi strapi <3.6.10
        strapi strapi 4.*，<4.1.10
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://github.com/strapi/strapi/releases/tag/v4.1.10