雷神眾測(cè)漏洞周報(bào)2024.06.24-2024.06.30
共 5580字，需瀏覽 12分鐘
·
2024-07-01 15:04
摘要
以下內(nèi)容，均摘自于互聯(lián)網(wǎng)，由于傳播，利用此文所提供的信息而造成的任何直接或間接的后果和損失，均由使用者本人負(fù)責(zé)，雷神眾測(cè)以及文章作者不承擔(dān)任何責(zé)任。
雷神眾測(cè)擁有該文章的修改和解釋權(quán)。如欲轉(zhuǎn)載或傳播此文章，必須保證此文章的副本，包括版權(quán)聲明等全部?jī)?nèi)容。聲明雷神眾測(cè)允許，不得任意修改或增減此文章內(nèi)容，不得以任何方式將其用于商業(yè)目的。
目錄
1.Apache Kafka UI 存在遠(yuǎn)程代碼執(zhí)行漏洞
2.GitLab存在身份驗(yàn)證繞過漏洞
3.用友 U8cloud 系統(tǒng)MeasQueryConditionFrameAction.doCopy接口SQL注入漏洞
4.Microsoft Exchange Server遠(yuǎn)程代碼執(zhí)行漏洞
漏洞詳情
1.Apache Kafka UI 存在遠(yuǎn)程代碼執(zhí)行漏洞
漏洞介紹：
Apache Kafka是一個(gè)開源消息系統(tǒng)項(xiàng)目，由Scala寫成。該項(xiàng)目的目標(biāo)是為處理實(shí)時(shí)數(shù)據(jù)提供一個(gè)統(tǒng)一、高通量、低等待的平臺(tái)。
漏洞危害：
其提供了通過連接到JMX 端口來監(jiān)控 Kafka 代理性能的功能。JMX 基于 RMI 協(xié)議，因此容易受到反序列化攻擊。潛在攻擊者可以通過將 Kafka UI 后端連接到其自己的惡意代理來利用此功能。
漏洞編號(hào)：
CVE-2024-32030
影響范圍：
Apache Kafka UI < 0.7.2
修復(fù)方案：
及時(shí)測(cè)試并升級(jí)到最新版本或升級(jí)版本
來源:安恒信息CERT
2.GitLab存在身份驗(yàn)證繞過漏洞
漏洞介紹：
GitLab 是一個(gè)用于倉庫管理系統(tǒng)的開源項(xiàng)目，使用Git作為代碼管理工具，并在此基礎(chǔ)上搭建起來的Web服務(wù)。
漏洞危害：
該漏洞允許攻擊者在某些情況下以其他用戶的身份觸發(fā)pipeline。
漏洞編號(hào)：
CVE-2024-5655
影響范圍：
15.8 <= GitLab CE/EE < 16.11.5
17.0 <= GitLab CE/EE < 17.0.3
17.1 <= GitLab CE/EE < 17.1.1
修復(fù)方案：
及時(shí)測(cè)試并升級(jí)到最新版本或升級(jí)版本
來源：安恒信息CERT
3.用友 U8cloud 系統(tǒng)MeasQueryConditionFrameAction.doCopy接口SQL注入漏洞
漏洞介紹：
用友U8cloud 是用友網(wǎng)絡(luò)科技股份有限公司推出的面向企業(yè)的云端ERP（企業(yè)資源計(jì)劃）解決方案。
漏洞危害：
受影響版本中MeasQueryConditionFrameAction.doCopy接口存在SQL注入漏洞，未授權(quán)的攻擊者可利用該漏洞竊取數(shù)據(jù)庫敏感信息。
影響范圍：
u8_cloud@[1.0, 5.0sp]
修復(fù)方案：
及時(shí)測(cè)試并升級(jí)到最新版本或升級(jí)版本
來源：OSCS
4.Microsoft Exchange Server遠(yuǎn)程代碼執(zhí)行漏洞
漏洞介紹：
Microsoft Exchange Server是美國微軟（Microsoft）公司的一套電子郵件服務(wù)程序。它提供郵件存取、儲(chǔ)存、轉(zhuǎn)發(fā)，語音郵件，郵件過濾篩選等功能。
漏洞危害：
Microsoft Exchange Server存在遠(yuǎn)程代碼執(zhí)行漏洞，攻擊者利用該漏洞在系統(tǒng)上執(zhí)行任意代碼。
漏洞編號(hào)：
CVE-2024-26198
影響范圍：
Microsoft Exchange Server 2016 Cumulative Update 23
Microsoft Exchange Server 2019 Cumulative Update 13
Microsoft Exchange Server 2019 Cumulative Update 14
修復(fù)方案：
及時(shí)測(cè)試并升級(jí)到最新版本或升級(jí)版本
來源：CNVD
專注滲透測(cè)試技術(shù)
全球最新網(wǎng)絡(luò)攻擊技術(shù)