雷神眾測漏洞周報2024.3.11-2024.3.17
摘要
以下內(nèi)容，均摘自于互聯(lián)網(wǎng)，由于傳播，利用此文所提供的信息而造成的任何直接或間接的后果和損失，均由使用者本人負責(zé)，雷神眾測以及文章作者不承擔(dān)任何責(zé)任。
雷神眾測擁有該文章的修改和解釋權(quán)。如欲轉(zhuǎn)載或傳播此文章，必須保證此文章的副本，包括版權(quán)聲明等全部內(nèi)容。聲明雷神眾測允許，不得任意修改或增減此文章內(nèi)容，不得以任何方式將其用于商業(yè)目的。
目錄
1.Apache ZooKeeper persistent watchers敏感信息泄露漏洞
2.Spring Web UriComponentsBuilder URL解析不當(dāng)漏洞
3.北京中遠麒麟科技有限公司運維審計系統(tǒng)存在命令執(zhí)行漏洞
4.Fortinet FortiSIEM操作系統(tǒng)命令注入漏洞
漏洞詳情
1.Apache ZooKeeper persistent watchers敏感信息泄露漏洞
漏洞介紹：
Apache ZooKeeper是一個開源的分布式協(xié)調(diào)服務(wù)，persistent watchers 是對節(jié)點的監(jiān)控機制。
漏洞危害：
受影響版本中，由于 addWatch 命令缺少 ACL 檢查，未經(jīng)身份驗證的攻擊者可利用通過 addWatch 命令將 persistent watchers 添加到攻擊者已經(jīng)訪問的父節(jié)點來監(jiān)視子 znodes，進而獲取 znode 的路徑信息（可能包含用戶名或登錄ID等敏感信息）。
漏洞編號：
CVE-2024-23944
影響范圍：
org.apache.zookeeper:zookeeper@[3.9.0, 3.9.2)
org.apache.zookeeper:zookeeper@[3.6.0, 3.8.4)
org.apache.zookeeper:zookeeper-it@[3.6.0, 3.8.4)
org.apache.zookeeper:zookeeper-it@[3.9.0, 3.9.2)
修復(fù)方案：
及時測試并升級到最新版本或升級版本
來源：OSCS
2.Spring Web UriComponentsBuilder URL解析不當(dāng)漏洞
漏洞介紹：
Spring Framework 是一個開源的Java應(yīng)用程序框架，UriComponentsBuilder是Spring Web中用于構(gòu)建和操作URI的工具類。
漏洞危害：
由于對CVE-2024-22243的修復(fù)不充分，攻擊者可構(gòu)造一下兩類 url 繞過主機名驗證，導(dǎo)致開放重定向或SSRF漏洞：
1、包含以 http 開頭的 scheme 但不包含 host；
2、url 中的 host 以 `[` 開頭但不以 `]` 結(jié)尾。
漏洞編號：
CVE-2024-22259
影響范圍：
org.springframework:spring-web@[6.1.0, 6.1.5)
org.springframework:spring-web@[6.0.0, 6.0.18)
org.springframework:spring-web@(-∞, 5.3.33)
修復(fù)方案：
及時測試并升級到最新版本或升級版本
來源：OSCS
3.北京中遠麒麟科技有限公司運維審計系統(tǒng)存在命令執(zhí)行漏洞
漏洞介紹：
北京中遠麒麟科技有限公司是一個以研發(fā)為主的軟件開發(fā)公司，公司主要產(chǎn)品為中遠麒麟堡壘機、麒麟SSL VPN、麒麟動態(tài)口令系統(tǒng)、麒麟云桌面等。中遠麒麟堡壘機，主要營運在騰訊云、阿里云、華為云、浪潮云等云市場。
漏洞危害：
北京中遠麒麟科技有限公司運維審計系統(tǒng)存在命令執(zhí)行漏洞，攻擊者可利用該漏洞獲取服務(wù)器控制權(quán)。
影響范圍：
北京中遠麒麟科技有限公司 運維審計系統(tǒng) 1.7-2021-0718
修復(fù)方案：
及時測試并升級到最新版本或升級版本
來源：CNVD
4.Fortinet FortiSIEM操作系統(tǒng)命令注入漏洞
漏洞介紹：
Fortinet FortiSIEM是美國飛塔（Fortinet）公司的一套安全信息和事件管理系統(tǒng)。該系統(tǒng)包括資產(chǎn)發(fā)現(xiàn)、工作流程自動化和統(tǒng)一管理等功能。
漏洞危害：
Fortinet FortiSIEM存在操作系統(tǒng)命令注入漏洞，該漏洞源于對特殊元素中和不當(dāng)。攻擊者可利用此漏洞在系統(tǒng)上執(zhí)行任意命令。
漏洞編號：
CVE-2024-23108
影響范圍：
Fortinet FortiSIEM >=6.6.0，<=6.6.3
Fortinet FortiSIEM 7.1.1
Fortinet FortiSIEM 7.1.0
Fortinet FortiSIEM >=7.0.0，<=7.0.2
Fortinet FortiSIEM >=6.7.0，<=6.7.8
Fortinet FortiSIEM >=6.5.0，<=6.5.2
Fortinet FortiSIEM >=6.4.0，<=6.4.2
修復(fù)方案：
及時測試并升級到最新版本或升級版本
來源：CNVD
專注滲透測試技術(shù)
全球最新網(wǎng)絡(luò)攻擊技術(shù)
END