欢迎关注

腾讯安全威胁情报中心

腾讯安全近期监测到Smartbi官方发布了关于Smartbi的风险公告，补丁修复了多个身份认证绕过漏洞，其中包括Smartbi RMIServlet登陆绕过漏洞（漏洞编号为CNVD-2023-55718）和Smartbi EngineAddress身份认证绕过漏洞（漏洞编号暂无）。成功利用上述漏洞的攻击者，最终可远程在目标系统上执行任意代码。

Smartbi是企业级商业智能BI和大数据分析品牌，满足用户在企业级报表、数据可视化分析、自助分析平台、数据挖掘建模、AI智能分析等方面的大数据分析需求。Smartbi致力于打造产品销售、产品整合、产品应用的生态系统，与上下游厂商、专业实施伙伴和销售渠道伙伴共同为最终用户服务，通过Smartbi应用商店（BI+行业应用）为客户提供场景化、行业化数据分析应用。

Smartbi RMIServlet登陆绕过漏洞源于Smartbi中的RMIServlet对传入的参数存在解析差异，攻击者可以利用该差异绕过过滤，通过未授权调用获取用户敏感信息，最终可远程执行代码。

Smartbi EngineAddress身份认证绕过漏洞源于SmartBI中的setEngineAddress等接口没有对用户的请求做权限校验，未经授权的攻击者可以利用该接口获取管理员token，最终可远程执行代码。

风险等级：

影响版本：

Smartbi V9及以上版本 < 2023.07.03补丁版本

Smartbi < 2023.07.28补丁版本

修复建议：

官方已发布漏洞补丁及修复版本，请评估业务是否受影响后，酌情升级至安全版本。

【备注】：建议您在升级前做好数据备份工作，避免出现意外。

腾讯安全近期监测到Apache官方发布了关于RocketMQ的风险公告，漏洞编号为CVE-2023-37582(CNNVD编号: CNNVD-202307-1076)。成功利用此漏洞的攻击者，最终可远程在目标系统上执行任意代码。

Apache RocketMQ是一款开源的分布式消息和流处理平台，提供了高效、可靠、可扩展的低延迟消息和流数据处理能力，广泛应用于异步通信、应用解耦、系统集成以及大数据、实时计算等场景。

据描述，该漏洞影响的是RocketMQ的NameServer服务（默认9876端口），如果NameServer服务端口暴露在外网，并且缺乏有效的身份认证机制，攻击者可以利用更新配置功能，以RocketMQ运行的系统用户身份执行命令。

漏洞状态：

风险等级：

影响版本：

5.0.0 <=Apache RocketMQ <= 5.1.1

1. 添加身份认证机制，确保只有授权用户才能访问和操作RocketMQ的消息队列。

2. 官方已发布漏洞补丁及修复版本，请评估业务是否受影响后，酌情升级至安全版本。(4.x版本的用户建议升级RocketMQ 至4.9.7或以上版本，5.x版本的用户建议升级RocketMQ 至5.1.2或以上版本)

https://github.com/apache/rocketmq/releases/

腾讯安全近期监测到Metabase官方发布了关于Metabase的风险公告，漏洞编号为CVE-2023-38646 (CNNVD编号: CNNVD-202307-1845)。成功利用此漏洞的攻击者，最终可远程在目标系统上执行任意代码。

Metabase是一个开源的商业智能工具，您可以通过它理解数据、分析数据，进行数据查询并获取格式化结果（图形化视图），以数据驱动决策。Hologres兼容PostgreSQL，支持直接连接Metabase进行数据分析。

该漏洞源于Metabase启动时会生成一个setup-token，攻击者在通过访问/api/session/properties获得该值后，可以访问/api/setup/validate并强制Metabase使用JDBC连接到任意数据库服务器，触发JDBC攻击，最终远程执行任意代码。

P.S. 近期腾讯安全监测到新的Metabase远程代码执行漏洞（CVE-2023-37470），此漏洞产生的原因是CVE-2023-38646官方未修补完全，导致Metabase在未完成安装的情况下，攻击者仍可以实现任意命令执行。虽然此漏洞利用条件较为苛刻，腾讯安全仍建议企业将Metabase升级到安全版本。

漏洞状态：

风险等级：

影响版本：

1.46.0 <= Metabase Enterprise < 1.46.6.1

P.S. 修复CVE-2023-38646漏洞的版本仍受CVE-2023-37470漏洞影响，腾讯安全建议升级Metabase到最新版本，以增强系统的安全性。

修复建议：

https://github.com/metabase/metabase/releases/

概述：

2023年7月，微软发布了2023年7月安全更新补丁，此次共发布了132个漏洞的补丁程序，其中包含9个严重漏洞。本次发布涉及多个软件的安全更新，包括Microsoft Office、Outlook、SmartScreen、Windows Kernel等产品，上述漏洞中危害性较高的是Microsoft Office and Windows HTML代码执行漏洞，漏洞编号为CVE-2023-36884 (CNNVD编号: CNNVD-202307-797)。成功利用此漏洞的攻击者，最终可远程执行任意代码。

Microsoft Office是由Microsoft公司开发的一套基于Windows操作系统的办公软件套装，其中的常用组件有 Word、Excel、PowerPoint等。

据描述，该漏洞源于Microsoft Office存在代码缺陷，攻击者可以发送特制的Microsoft Office文档并诱使受害者打开，打开后会下载一个恶意脚本，该脚本会启动 iframe 注入，从而下载恶意payload，最终远程执行任意代码。

Windows 10 for x64-based Systems

Windows 10 for 32-bit Systems

Windows 10 Version 22H2 for 32-bit Systems

Windows 10 Version 22H2 for ARM64-based Systems

Windows 10 Version 22H2 for x64-based Systems

Windows 11 Version 22H2 for x64-based Systems

Windows 11 Version 22H2 for ARM64-based Systems

Windows 10 Version 21H2 for x64-based Systems

Windows 10 Version 21H2 for ARM64-based Systems

Windows 10 Version 21H2 for 32-bit Systems

Windows 11 version 21H2 for ARM64-based Systems

Windows 11 version 21H2 for x64-based Systems

Windows Server 2022 (Server Core installation)

Windows Server 2022

Windows Server 2019 (Server Core installation)

Windows Server 2019

Windows 10 Version 1809 for ARM64-based Systems

Windows 10 Version 1809 for x64-based Systems

Windows 10 Version 1809 for 32-bit Systems

Microsoft Word 2013 Service Pack 1 (64-bit editions)

Microsoft Word 2013 Service Pack 1 (32-bit editions)

Microsoft Word 2016 (64-bit edition)

Microsoft Word 2016 (32-bit edition)

Microsoft Office LTSC 2021 for 32-bit editions

Microsoft Office LTSC 2021 for 64-bit editions

Microsoft Office 2019 for 64-bit editions

Windows Server 2012

Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation)

Windows Server 2008 R2 for x64-based Systems Service Pack 1

Windows Server 2008 for x64-based Systems Service Pack 2 (Server Core installation)

Windows Server 2008 for x64-based Systems Service Pack 2

Windows Server 2008 for 32-bit Systems Service Pack 2 (Server Core installation)

Windows Server 2008 for 32-bit Systems Service Pack 2

Windows Server 2016 (Server Core installation)

Windows Server 2016

Windows 10 Version 1607 for x64-based Systems

Windows 10 Version 1607 for 32-bit Systems

Windows Server 2012 R2

Windows Server 2012 (Server Core installation)

Microsoft Office 2019 for 32-bit editions

Windows Server 2012 R2 (Server Core installation)

https://learn.microsoft.com/en-us/microsoft-365/security/defender-endpoint/attack-surface-reduction-rules-reference?view=o365-worldwide#block-all-office-applications-from-creating-child-processes

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-36884

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-36884

概述：

腾讯安全近期监测到Adobe官方发布了关于Coldfusion的风险公告，漏洞编号为：CVE-2023-38203（CNNVD编号：CNNVD-202307-1472）。成功利用此漏洞的攻击者，最终可远程在目标系统上执行任意代码。

Adobe ColdFusion是一款基于Java的Web应用程序开发平台，它提供了一系列工具和技术，使开发人员能够快速构建和部署动态网站、企业应用和互联网应用程序。它支持多种数据源、多种开发语言和多种平台，包括Windows、Linux和Mac OS X等。Adobe ColdFusion还提供了丰富的标签库和函数库，使开发人员能够快速构建复杂的Web应用程序，而无须编写大量的代码。

据描述，该漏洞源于ColdFusion存在代码缺陷，攻击者可向ColdFusion服务器发送不受信任的序列化数据并触发反序列化，从而执行任意代码。

漏洞状态：

风险等级：

影响版本：

ColdFusion 2023 <= Update 1

修复建议：

官方已发布漏洞补丁及修复版本，请评估业务是否受影响后，酌情升级至安全版本。

https://helpx.adobe.com/security/products/coldfusion/apsb23-41.html

概述：

腾讯安全近期监测到Citrix官方发布了关于Citrix ADC及Citrix Gateway的风险公告，漏洞编号为：CVE-2023-3519（CNNVD编号：CNNVD-202307-1699）。成功利用此漏洞的攻击者，最终可远程在目标系统上执行任意代码。

Citrix Systems Citrix Gateway（Citrix Systems NetScaler Gateway）和Citrix ADC都是美国Citrix公司的产品。Citrix Gateway是一套安全的远程接入解决方案。该产品可为管理员提供应用级和数据级管控功能，以实现用户从任何地点远程访问应用和数据。Citrix ADC是一个最全面的应用程序交付和负载平衡解决方案。它用于实现应用程序的安全性、整体可见性和可用性。

据描述，该漏洞源于Citrix ADC 及 Citrix Gateway存在代码缺陷，当这些设备配置为网关或身份验证服务器并由客户管理时，它们容易受到攻击者发起的远程代码执行攻击。

漏洞状态：

风险等级：

影响版本：

13.0 <= NetScaler ADC < 13.0-91.13

13.1 <= NetScaler ADC < 13.1-49.13

13.0 <= NetScaler Gateway < 13.0-91.13

13.1 <= NetScaler Gateway < 13.1-49.13

12.1 <= NetScaler ADC 12.1-FIPS < 12.1-55.297

13.1 <= NetScaler ADC 13.1-FIPS < 13.1-37.159

12.1 <= NetScaler ADC 12.1-NDcPP < 12.1-55.297

修复建议：

1. 避免开放至公网，仅对可信任网段开放。

2. 官方已发布漏洞补丁及修复版本，请评估业务是否受影响后，酌情升级至安全版本。

其中NetScaler ADC 和 NetScaler Gateway 12.1 版本官方已不再维护 (EOL)，建议客户将受影响的NetScaler ADC和NetScaler Gateway设备升级到如下对应的修复版本:

NetScaler ADC、NetScaler Gateway 13.0 >= 13.0-91.13

NetScaler ADC、NetScaler Gateway 13.1 >= 13.1-49.13

NetScaler ADC 12.1-FIPS >= 12.1-55.297

NetScaler ADC 13.1-FIPS >= 13.1-37.159

NetScaler ADC 12.1-NDcPP >= 12.1-55.297

https://support.citrix.com/article/CTX561482/citrix-adc-and-citrix-gateway-security-bulletin-for-cve20233519-cve20233466-cve20233467

概述：

腾讯安全近期监测到Atlassian官方发布了关于Confluence的风险公告，漏洞编号为：CVE-2023-22505（CNNVD编号：CNNVD-202307-1641）。成功利用此漏洞的攻击者，最终可远程执行任意命令。

Confluence是一种协作和知识管理工具，它可以帮助企业团队协作创建、分享和管理文档、任务、日程等信息。Confluence提供了一个中心化的平台，使得团队成员可以轻松地共享和访问信息，并可以通过评论、@提及、任务分配等方式进行交流和协作。Confluence还提供了强大的搜索功能和版本控制机制，使得团队成员能够快速找到所需信息，并确保信息的准确性和一致性。Confluence是一种灵活、易用、可定制和可扩展的工具，适用于各种类型的企业和团队。

据描述，该漏洞源于Atlassian Confluence存在代码缺陷，具有登录权限的攻击者可以利用该漏洞远程执行任意代码。

漏洞状态：

风险等级：

影响版本：

8.0.0 <= Confluence Data Center < 8.3.2

8.0.0 <= Confluence Server < 8.3.2

修复建议：

官方已发布漏洞补丁及修复版本，请评估业务是否受影响后，酌情升级至安全版本。

https://www.atlassian.com/software/confluence/download-archives

概述：

腾讯安全近期监测到Apache官方发布了关于Shiro的风险公告，漏洞编号为：CVE-2023-34478（CNNVD编号：CNNVD-202307-1950）。成功利用此漏洞的攻击者，最终可以绕过身份认证，获取敏感信息。

Apache Shiro是一个Java安全框架，提供了身份验证、授权、加密和会话管理等核心安全功能。Shiro的设计目标是简单、直观、易于使用和扩展。Shiro支持多种身份验证方式，包括基于表单、基于HTTP、基于LDAP、基于CAS等方式，同时还提供了灵活的授权机制，可以根据角色、权限、资源等进行授权管理。

据描述，未修复版本的Shiro中存在路径遍历漏洞，当Shiro与非标准化路由请求的API或Web框架一起使用时，攻击者可以利用该漏洞绕过身份验证，进而获取敏感信息。

P.S. 经腾讯安全专家研判后，发现此漏洞利用所需的条件较为苛刻，但是此组件使用范围较广，厂商应根据修复难度，酌情判断是否修复此漏洞。

漏洞状态：

风险等级：

影响版本：

Apache Shiro < 1.12.0

Apache Shiro 2.0.0-alpha-1

Apache Shiro 2.0.0-alpha-2

修复建议：

官方已发布漏洞补丁及修复版本，请评估业务是否受影响后，酌情升级至安全版本。

https://shiro.apache.org/blog/2023/07/18/apache-shiro-1120-released.html

* 以上漏洞的修复建议，由安全专家审核并融合了AI生成的建议。

* 漏洞评分为腾讯安全研究人员根据漏洞情况作出，仅供参考，具体漏洞细节请以原厂商或是相关漏洞平台公示为准。

往期企业必修漏洞清单

• 2023年06月必修安全漏洞清单

• 2023年05月必修安全漏洞清单

• 2023年04月必修安全漏洞清单

• 2023年03月必修安全漏洞清单

• 2023年02月必修安全漏洞清单

• 2023年01月必修安全漏洞清单

• 2022年12月必修安全漏洞清单

• 2022年11月必修安全漏洞清单

• 2022年10月必修安全漏洞清单

• 2022年09月必修安全漏洞清单

• 2022年08月必修安全漏洞清单

• 2022年07月必修安全漏洞清单
  

• 2022年06月必修安全漏洞清单
• 2022年05月必修安全漏洞清单
  
• 2022年04月必修安全漏洞清单
• 2022年03月必修安全漏洞清单
  
• 2022年02月必修安全漏洞清单
• 2022年01月必修安全漏洞清单
  
• 2021年12月必修安全漏洞清单
• 2021年11月必修安全漏洞清单