雷神眾測漏洞周報2024.3.04-2024.3.10
摘要
以下內(nèi)容，均摘自于互聯(lián)網(wǎng)，由于傳播，利用此文所提供的信息而造成的任何直接或間接的后果和損失，均由使用者本人負責(zé)，雷神眾測以及文章作者不承擔(dān)任何責(zé)任。
雷神眾測擁有該文章的修改和解釋權(quán)。如欲轉(zhuǎn)載或傳播此文章，必須保證此文章的副本，包括版權(quán)聲明等全部內(nèi)容。聲明雷神眾測允許，不得任意修改或增減此文章內(nèi)容，不得以任何方式將其用于商業(yè)目的。
目錄
1.GitLab存在身份驗證繞過漏洞
2.TeamCity<2023.11.4 身份驗證繞過漏洞
3.IBM Security Guardium操作系統(tǒng)命令注入漏洞
4.Microsoft SharePoint Server遠程代碼執(zhí)行漏洞
漏洞詳情
1.GitLab存在身份驗證繞過漏洞
漏洞介紹：
GitLab是一個開源的代碼協(xié)作平臺，它提供了一整套工具，支持軟件開發(fā)的整個生命周期。GitLab主要特點包括版本控制、代碼審查、持續(xù)部署、測試、項目管理等功能。
漏洞危害：
攻擊者可以利用該漏洞來繞過身份驗證，竊取受保護的變量，導(dǎo)致敏感信息泄露。
漏洞編號：
CVE-2024-0199
影響范圍：
GitLab CE/EE ≥ 11.3且
16.8.4>GitLab CE/EE ≥ 16.7.6
16.9.2>GitLab CE/EE ≥ 16.8.3
修復(fù)方案：
及時測試并升級到最新版本或升級版本
來源：安恒信息CERT
2.TeamCity<2023.11.4 身份驗證繞過漏洞
漏洞介紹：
TeamCity 是 JetBrains 公司開發(fā)的一款 CI/CD 工具。
漏洞危害：
JetBrains TeamCity在2023.11.4版本之前存在認證繞過漏洞，由于getJspFromRequest方法中對jsp請求判斷不嚴，導(dǎo)致攻擊者可通過使用;.jsp結(jié)尾的請求（如/hax?jsp=/app/rest/server;.jsp），繞過身份驗證，訪問未授權(quán)的API。未授權(quán)的攻擊者可能通過利用該漏洞獲取TeamCity管理員access token，從而控制CI/CD服務(wù)。
漏洞編號：
CVE-2024-27198
影響范圍：
teamcity@(-∞, 2023.11.4)
修復(fù)方案：
及時測試并升級到最新版本或升級版本
來源：OSCS
3.IBM Security Guardium操作系統(tǒng)命令注入漏洞
漏洞介紹：
IBM Security Guardium是美國國際商業(yè)機器（IBM）公司的一套提供數(shù)據(jù)保護功能的平臺。該平臺包括自定義UI、報告管理和流線化的審計流程構(gòu)建等功能。
漏洞危害：
IBM Security Guardium Key Lifecycle Manager存在操作系統(tǒng)命令注入漏洞，經(jīng)過身份驗證的遠程攻擊者可利用該漏洞通過發(fā)送特制請求來在系統(tǒng)上執(zhí)行任意命令。
漏洞編號：
CVE-2023-25925
影響范圍：
IBM Security Guardium Key Lifecycle Manager 3.0
IBM Security Guardium Key Lifecycle Manager 3.0.1
IBM Security Guardium Key Lifecycle Manager 4.0
IBM Security Guardium Key Lifecycle Manager 4.1
IBM Security Guardium Key Lifecycle Manager 4.1.1
修復(fù)方案：
及時測試并升級到最新版本或升級版本
來源：CNVD
4.Microsoft SharePoint Server遠程代碼執(zhí)行漏洞
漏洞介紹：
Microsoft SharePoint Server是美國微軟（Microsoft）公司的一套企業(yè)業(yè)務(wù)協(xié)作平臺。該平臺用于對業(yè)務(wù)信息進行整合，并能夠共享工作、與他人協(xié)同工作、組織項目和工作組、搜索人員和信息。
漏洞危害：
Microsoft SharePoint Server存在遠程代碼執(zhí)行漏洞，攻擊者可利用該漏洞在SharePoint服務(wù)器上執(zhí)行任意代碼。
漏洞編號：
CVE-2024-21318
影響范圍：
Microsoft SharePoint Enterprise Server 2016
Microsoft SharePoint Server 2019 null
Microsoft SharePoint Server Subscription Edition
修復(fù)方案：
及時測試并升級到最新版本或升級版本
來源：CNVD
專注滲透測試技術(shù)
全球最新網(wǎng)絡(luò)攻擊技術(shù)
亞奧理事會官方網(wǎng)絡(luò)安全眾測平臺
OFFICIAL BUG BOUNTY PLATFORM OF THE OLYMPIC COUNCIL OF ASIA
END