雷神众测漏洞周报2024.06.24-2024.06.30
2024-7-1 14:59:10 Author: mp.weixin.qq.com(查看原文) 阅读量:7 收藏

摘要

以下内容,均摘自于互联网,由于传播,利用此文所提供的信息而造成的任何直接或间接的后果和损失,均由使用者本人负责,雷神众测以及文章作者不承担任何责任。

雷神众测拥有该文章的修改和解释权。如欲转载或传播此文章,必须保证此文章的副本,包括版权声明等全部内容。声明雷神众测允许,不得任意修改或增减此文章内容,不得以任何方式将其用于商业目的。

目录

1.Apache Kafka UI 存在远程代码执行漏洞

2.GitLab存在身份验证绕过漏洞

3.用友 U8cloud 系统MeasQueryConditionFrameAction.doCopy接口SQL注入漏洞

4.Microsoft Exchange Server远程代码执行漏洞

漏洞详情

1.Apache Kafka UI 存在远程代码执行漏洞

漏洞介绍:

Apache Kafka是一个开源消息系统项目,由Scala写成。该项目的目标是为处理实时数据提供一个统一、高通量、低等待的平台。

漏洞危害:

其提供了通过连接到JMX 端口来监控 Kafka 代理性能的功能。JMX 基于 RMI 协议,因此容易受到反序列化攻击。潜在攻击者可以通过将 Kafka UI 后端连接到其自己的恶意代理来利用此功能。

漏洞编号:

CVE-2024-32030

影响范围:

Apache Kafka UI < 0.7.2

修复方案:

及时测试并升级到最新版本或升级版本

来源:安恒信息CERT

2.GitLab存在身份验证绕过漏洞

漏洞介绍:

GitLab 是一个用于仓库管理系统的开源项目,使用Git作为代码管理工具,并在此基础上搭建起来的Web服务。

漏洞危害:

该漏洞允许攻击者在某些情况下以其他用户的身份触发pipeline。

漏洞编号:

CVE-2024-5655

影响范围:

15.8 <= GitLab CE/EE < 16.11.5

17.0 <= GitLab CE/EE < 17.0.3

17.1 <= GitLab CE/EE < 17.1.1

修复方案:

及时测试并升级到最新版本或升级版本

来源:安恒信息CERT

3.用友 U8cloud 系统MeasQueryConditionFrameAction.doCopy接口SQL注入漏洞

漏洞介绍:

用友U8cloud 是用友网络科技股份有限公司推出的面向企业的云端ERP(企业资源计划)解决方案。

漏洞危害:

受影响版本中MeasQueryConditionFrameAction.doCopy接口存在SQL注入漏洞,未授权的攻击者可利用该漏洞窃取数据库敏感信息。

影响范围:

u8_cloud@[1.0, 5.0sp]

修复方案:

及时测试并升级到最新版本或升级版本

来源:OSCS

4.Microsoft Exchange Server远程代码执行漏洞

漏洞介绍:

Microsoft Exchange Server是美国微软(Microsoft)公司的一套电子邮件服务程序。它提供邮件存取、储存、转发,语音邮件,邮件过滤筛选等功能。

漏洞危害:

Microsoft Exchange Server存在远程代码执行漏洞,攻击者利用该漏洞在系统上执行任意代码。

漏洞编号:

CVE-2024-26198

影响范围:

Microsoft Exchange Server 2016 Cumulative Update 23

Microsoft Exchange Server 2019 Cumulative Update 13

Microsoft Exchange Server 2019 Cumulative Update 14

修复方案:

及时测试并升级到最新版本或升级版本

来源:CNVD

专注渗透测试技术

全球最新网络攻击技术

END


文章来源: https://mp.weixin.qq.com/s?__biz=MzI0NzEwOTM0MA==&mid=2652502969&idx=1&sn=b1c6510f73b076788e0d93dc8b589ca8&chksm=f258580ac52fd11c5d477a00b46118ce36d969614b0a3a96b044e9591d5ed8aacfb4fbc7fb99&scene=58&subscene=0#rd
如有侵权请联系:admin#unsafe.sh