所谓必修漏洞，就是运维人员必须修复、不可拖延、影响范围较广的漏洞，被黑客利用并发生入侵事件后，会造成十分严重的后果。
腾讯安全威胁情报中心参考“安全漏洞的危害及影响力、漏洞技术细节披露情况、该漏洞在安全技术社区的讨论热度”等因素，综合评估该漏洞在攻防实战场景的风险。当漏洞综合评估为风险严重、影响面较广、技术细节已披露，且被安全社区高度关注时，就将该漏洞列入必修安全漏洞候选清单。
腾讯安全威胁情报中心定期发布安全漏洞必修清单，以此指引政企客户安全运维人员修复漏洞，从而避免重大损失。 以下是2024年10月份必修安全漏洞清单：
漏洞介绍及修复建议详见后文
腾讯安全近期监测到Apache官方发布了关于Solr的风险公告，漏洞编号：TVD-2024-28124。(CVE编号：CVE-2024-45216，CNNVD编号：CNNVD-202410-1596)。成功利用此漏洞的攻击者，最终可绕过权限验证访问受限页面。
Apache Solr是一款基于Apache Lucene的开源搜索平台，它不仅提供了快速、准确的全文搜索功能，还具备实时数据分析的能力。Solr的设计使其能够轻松处理大规模数据集，并通过高度可定制的排序、过滤和评分机制来优化搜索结果。此外，Solr支持多种数据格式和编程接口，包括XML、JSON以及Java、Python等多种语言的客户端库，极大地方便了开发者的集成工作。
据描述，该漏洞源于Solr中的 PKIAuthenticationPlugin 存在认证逻辑错误，攻击者可以将特定路径拼接至URL末尾绕过权限验证，最终访问任意路由，从而获取敏感数据或进行其他恶意操作。
风险等级：
影响版本：
5.3.0 <= Apache Solr < 8.11.4
9.0.0 <= Apache Solr < 9.7.0
修复建议：
【备注】：建议您在升级前做好数据备份工作，避免出现意外。
https://solr.apache.org/downloads.html
2. 临时缓解方案：
- 设置白名单访问。
腾讯安全近期监测到CyberPanel官方发布了关于CyberPanel的风险公告，漏洞编号：TVD-2024-29503 (CVE编号：CVE-2024-51567，CNNVD编号：CNNVD-202410-3421)。成功利用此漏洞的攻击者，最终可远程执行任意代码。
CyberPanel是一款强大且易于使用的控制面板，专为Web hosting和网站管理设计。它提供了直观的用户界面，让用户能够轻松管理虚拟主机、域名、电子邮件账户、数据库等资源。CyberPanel还具备一键安装LAMP/WAMP环境、强大的备份和恢复功能。此外，其高性能和稳定性确保了用户的网站能够顺畅运行。
该漏洞源于CyberPanel中的 upgrademysqlstatus接口权限校验功能存在缺陷，且CyberPanel中的secMiddleware只对POST请求传输的内容进行恶意字符过滤。攻击者可以通过获取到的csrf token绕过权限校验，并构造非POST请求的恶意请求，最终远程执行任意代码。
漏洞状态：
风险等级：
影响版本：
CyberPanel < 2.3.8
1. 官方已发布漏洞补丁及修复版本，请评估业务是否受影响后，酌情升级至安全版本。
【备注】：建议您在升级前做好数据备份工作，避免出现意外。
https://cyberpanel.net/blog/detials-and-fix-of-recent-security-issue-and-patch-of-cyberpanel
2. 临时缓解方案：
- 如非必要，避免开放CyberPanel服务至公网。
- 设置白名单访问。
腾讯安全近期监测到关于Redis的风险公告，漏洞编号为TVD-2024-26971 (CVE编号：CVE-2024-31449，CNNVD编号：CNNVD-202410-612)。成功利用此漏洞的攻击者，可能触发远程代码执行。
Redis是一款开源的高性能键值对存储数据库，它以内存为数据存储介质，提供了快速的数据读写能力。Redis支持多种数据结构，如字符串、哈希表、列表、集合和有序集合等，同时还具备发布订阅、事务、Lua脚本处理等功能。因其出色的性能和丰富的功能，Redis被广泛应用于缓存、消息队列、实时分析等场景，成为现代互联网应用中不可或缺的技术组件。
据描述，该漏洞源于Redis 中的Lua库存在代码缺陷，经过身份验证的攻击者可通过发送特制的Lua脚本触发堆栈缓冲区溢出，最终可能导致远程代码执行。
漏洞状态：
风险等级：
影响版本：
Redis 开源/社区版 < 6.2.16
Redis 开源/社区版 < 7.2.6
Redis 开源/社区版 < 7.4.1
Redis Stack < 6.2.6-v17
Redis Stack < 7.2.0-v13
Redis Stack < 7.4.0-v1
Redis 商业版 < 6.4.2-110
Redis 商业版 < 7.2.4-109
Redis 商业版 < 7.4.2-169
Redis 商业版 < 7.4.6
修复建议：
https://github.com/redis/redis/releases
- 利用安全组设置Redis仅对可信地址开放。
- 强制对Redis实例的所有访问使用凭据。
- 设置用户权限，仅允许受信任的身份运行Lua脚本或任何其他潜在危险的命令。
概述：
腾讯安全近期监测到Oracle官方发布了WebLogic的风险公告，漏洞编号为TVD-2024-27951 (CVE编号：CVE-2024-21216，CNNVD编号：CNNVD-202410-1425)。成功利用此漏洞的攻击者，最终可以远程执行任意代码。
WebLogic是Oracle公司开发的一款企业级应用服务器，它提供了强大的Web应用程序和EJB容器的功能，支持Java EE标准。WebLogic可以作为开发和部署企业应用的平台，提供了诸如事务管理、安全性、集群、负载均衡以及可扩展性等关键特性，旨在简化企业级应用的开发、部署和管理。因其稳定性和强大的功能集，WebLogic在企业级应用中得到了广泛的应用。
据描述，该漏洞源于Weblogic存在代码缺陷，攻击者可以通过T3/IIOP协议发送特制的请求触发反序列化漏洞，最终远程执行任意代码。
WebLogic 14.1.1.0.0
1. 官方已发布漏洞补丁及修复版本，请评估业务是否受影响后，酌情升级至安全版本。
https://www.oracle.com/security-alerts/cpuoct2024.html
WebLogic.security.net.ConnectionFilterImpl127.0.0.1 * * allow t3 t3s* * * deny t3 t3s
- 禁用IIOP协议，登录weblogic后台页面，在左侧菜单页中点击 环境->服务器->AdminServer->协议->IIOP，取消勾选“启动IIOP”。
概述：
腾讯安全近期监测到Fortinet官方发布了关于FortiManager的风险公告，漏洞编号为TVD-2024-29074 (CVE编号：CVE-2024-47575，CNNVD编号：CNNVD-202410-2613)，未经身份验证的远程攻击者可以利用该漏洞绕过身份验证，远程执行任意代码。
FortiManager 是 Fortinet 公司推出的一款强大的集中式网络安全管理解决方案。它通过提供一个统一的界面，简化了对 Fortinet 网络设备（如防火墙、交换机和入侵防御系统等）的配置、管理和监控。FortiManager 支持大规模网络环境，能够高效地部署安全策略、监控网络活动并快速响应潜在威胁。其自动化功能减少了人为错误，提高了操作效率，并确保网络安全策略的一致性和合规性。此外，FortiManager 还具备强大的报告和分析工具，帮助管理员深入了解网络性能和安全状况，从而做出明智的决策。
据描述，该漏洞源于Fortinet FortiManager存在代码缺陷，未授权的攻击者可以通过发送特制的请求绕过权限校验，最终远程执行任意代码。
漏洞状态：
风险等级：
影响版本：
6.2.0 <= FortiManager <= 6.2.12
6.4.0 <= FortiManager <= 6.4.14
7.0.0 <= FortiManager <= 7.0.12
7.2.0 <= FortiManager <= 7.2.7
7.4.0 <= FortiManager <= 7.4.4
FortiManager 7.6.0
6.4.1 <= FortiManager Cloud <= 6.4.7
7.0.1 <= FortiManager Cloud <= 7.0.12
7.2.1 <= FortiManager Cloud <= 7.2.7
7.4.1 <= FortiManager Cloud <= 7.4.4
修复建议：
1. 官方已发布漏洞补丁及修复版本，请评估业务是否受影响后，酌情升级至安全版本。
【备注】：建议您在升级前做好数据备份工作，避免出现意外。
https://www.fortiguard.com/psirt/FG-IR-24-423
2. 临时缓解方案：
- 可信内部IP地址访问和通信。
- 未知的 FortiGate 设备禁止与FortiManager关联。
概述：
腾讯安全近期监测到Kubernetes官方发布了关于Kubernetes Image Builder的风险公告，漏洞编号为TVD-2024-27991 (CVE编号：CVE-2024-9486，CNNVD编号：CNNVD-202410-1533)，成功利用此漏洞的攻击者，最终可登录并控制容器环境。
Kubernetes Image Builder 是一个用于自动化构建和推送容器镜像的工具，旨在简化 Kubernetes 应用程序的部署和管理过程。它提供了一个声明式的配置方式，使开发人员能够轻松定义镜像构建的步骤和依赖项，并自动执行构建、测试和推送操作。通过 Kubernetes Image Builder，团队可以更高效地管理容器镜像的生命周期，确保镜像的安全性和一致性，从而提升整个开发和部署流程的效率。Proxmox Provider是一款开源的虚拟化管理平台，提供了强大的硬件虚拟化和容器化功能。Proxmox Provider提供了一个直观的 Web 界面和命令行工具，简化了镜像容器的创建、管理和监控过程。
据描述，该漏洞源于Kubernetes Image Builder在镜像构建过程中使用默认凭据，通过Proxmox Provider创建的虚拟机镜像不会禁用或修改默认凭据，攻击者可以使用该凭据通过SSH连接到创建的虚拟环境，从而获得虚拟环境的权限。
PS ：只有当Kubernetes 集群的节点使用通过Image Builder项目及其Proxmox provider创建的VM镜像时，Kubernetes集群才会受到该漏洞影响。
漏洞状态：
风险等级：
Kubernetes Image Builder <= 0.1.37
修复建议：
1. 官方已发布漏洞补丁及修复版本，请评估业务是否受影响后，酌情升级至安全版本。
【备注】：建议您在升级前做好数据备份工作，避免出现意外。
https://github.com/kubernetes-sigs/image-builder/releases/
2. 临时缓解方案：
- 更改builder账户密码或删除builder账户。
- 禁止builder用户SSH访问。
概述：
腾讯安全近期监测到Spring官方发布了关于Spring Framework的风险公告，漏洞编号为 TVD-2024-31920 (CVE编号：CVE-2024-38819)。成功利用此漏洞的攻击者，最终遍历读取系统上的文件。
Spring Framework是一个开源的Java应用程序开发框架，它通过提供广泛的基础设施支持和丰富的功能，简化了Java开发过程。Spring Framework旨在构建可扩展、松耦合和易于测试的应用程序。从简单的Web应用，到复杂的企业级系统，都适合使用Spring Framework开发。
当 Spring Framework使用WebMvc.fn 或 WebFlux.fn 提供静态资源时，容易受到路径遍历攻击，攻击者可以构造恶意请求获取目标系统上由Spring正在运行的进程访问的文件，从而导致信息泄露。
漏洞状态：
风险等级：
影响版本：
5.3.0 <= Spring Framework <= 5.3.40
6.0.0 <= Spring Framework <= 6.0.24
6.1.0 <= Spring Framework <= 6.1.13
P.S. 其他官方已不支持的旧版本也受此漏洞影响
修复建议：
1. 官方已发布漏洞补丁及修复版本，请评估业务是否受影响后，酌情升级至安全版本。
【备注】：建议您在升级前做好数据备份工作，避免出现意外。
https://github.com/spring-projects/spring-framework/tags
2. 临时缓解方案：
- 使用Spring Security HTTP 防火墙并配置相应安全规则。
- 将应用程序部署在 Tomcat 或 Jetty 上运行。
概述：
腾讯安全近期监测到Gitlab官方发布了关于GitLab EE的风险公告，漏洞编号为TVD-2024-27572 (CVE编号：CVE-2024-9164，CNNVD编号：CNNVD-202410-1130)。成功利用此漏洞的攻击者，可以获取敏感信息甚至执行恶意代码。
GitLab EE是GitLab公司推出的企业级版本，它提供了全面的源代码管理和协作功能，专为满足大型组织和企业的需求而设计。GitLab EE支持多人协作开发，提供强大的分支管理、代码审查、持续集成/持续部署（CI/CD）以及监控和安全防护等功能。此外，EE版本还包含额外的企业级特性，如高可用性架构、细粒度的权限控制、单点登录集成以及合规性报告等，确保企业在利用GitLab进行软件开发时能够达到最高的安全标准和效率。
据描述，该漏洞源于GitLab EE存在代码缺陷，在某些情况下，攻击者利用该漏洞以其他用户的身份在GitLab的任意分支上执行pipelines。这可能导致恶意代码的执行或敏感信息的泄露。
漏洞状态：
风险等级：
影响版本：
12.5 <= GitLab EE < 17.2.9
17.3 <= GitLab EE < 17.3.5
17.4 <= GitLab EE < 17.4.2
修复建议：
官方已发布漏洞补丁及修复版本，请评估业务是否受影响后，酌情升级至安全版本。
【备注】：建议您在升级前做好数据备份工作，避免出现意外。
https://about.gitlab.com/releases/2024/10/09/patch-release-gitlab-17-4-2-released/
概述：
腾讯安全近期监测到关于ThinkPHP的风险公告，漏洞编号为 TVD-2024-29996 (CVE编号：CVE-2024-48112，CNNVD编号：CNNVD-202410-3502)。成功利用此漏洞的攻击者，最终可远程执行任意代码。
ThinkPHP是中国顶想信息科技公司的一套基于PHP的、开源的、轻量级Web应用程序开发框架，旨在简化企业级应用的开发过程。它采用了面向对象的编程思想和 MVC（模型-视图-控制器）设计模式，提供了丰富的功能和组件，支持快速开发和高效维护。ThinkPHP 具有良好的性能和安全性，易于上手且文档齐全，广泛应用于各类 Web 应用项目。
据描述，该漏洞源于ThinkPHP中的ResourceRegister类存在代码缺陷，攻击者可以通过构造恶意的序列化请求发送触发反序列化漏洞，最终远程执行任意代码。
漏洞状态：
风险等级：
影响版本：
6.1.3 <= ThinkPHP <= 8.0.4
修复建议：
1. 官方暂未发布漏洞补丁及修复版本，请持续关注官方公告，待官方发布后评估业务是否受影响，酌情升级至安全版本。
https://www.thinkphp.cn/
- 对传入的序列化数据进行安全检查。
概述：
腾讯安全近期监测到Mozilla官方发布了关于Firefox的风险公告，漏洞编号为 TVD-2024-27303 (CVE编号：CVE-2024-9680，CNNVD编号：CNNVD-202410-902)。成功利用此漏洞的攻击者，最终可远程执行任意代码。
Firefox是一款由Mozilla基金会开发的开源网络浏览器，以其快速、安全、用户友好和高度可定制性著称。它内置了追踪保护功能，提供“私密浏览”模式，有效保护用户隐私。Firefox支持多设备同步，拥有丰富的扩展和主题，允许用户根据个人需求进行个性化设置。
该漏洞源于Firefox中的Animation timelines组件存在释放后重用漏洞，攻击者可通过制造恶意网页诱导受害者访问触发该漏洞，最终远程执行任意代码。
漏洞状态：
风险等级：
影响版本：
Firefox < 131.0.2
Firefox ESR < 115.16.1
128.0 <= Firefox ESR < 128.3.1
Firefox Thunderbird < 115.16.0
修复建议：
官方已发布漏洞补丁及修复版本，请评估业务是否受影响后，酌情升级至安全版本。
【备注】：建议您在升级前做好数据备份工作，避免出现意外。
https://www.firefox.com.cn/
* 以上漏洞的修复建议，由安全专家审核并融合了AI生成的建议。
* 漏洞评分为腾讯安全研究人员根据漏洞情况作出，仅供参考，具体漏洞细节请以原厂商或是相关漏洞平台公示为准。
腾讯安全攻防团队 A&D Team专注于安全前沿攻防技术研究。组内有多名深耕安全技术多年的业内专家，研究领域包含但不限于Web安全，主机安全，二进制安全，欢迎关注我们。
如有侵权请联系:admin#unsafe.sh