06
2024 - 06
【漏洞通告】盘点近日重点漏洞
来源：安洽科技
欢迎来到安洽科技的公众号,我们致力于为用户提供最全面、最及时的安全风险提示和解决方案。每月我们会给您推送最新的安全风险提醒，帮助您更好地保护自己和企业。
在这里，您将了解到各种网络安全问题，并获得专业人士的建议和指导。无论是针对个人还是企业，我们都有适合您的解决方案。
感谢您的关注，安洽科技您身边的安全专家！
Apache ActiveMQ Jolokia 和 REST API 未授权访问漏洞 Apache ActiveMQ 是基于 Java Message Service (JMS) 的开源消息中间件。
受影响版本中，由于未对 Jolokia JMX REST API 和 Message REST API 添加身份校验，未授权的攻击者可利用暴露通过 Jolokia JMX REST API 与消息代理进行交互，或者使用 Message REST API 发送和接收消息，甚至清除或删除消息队列和主题。
【漏洞编号】：CVE-2024-32114
【漏洞等级】：高危
【影响版本】：
activemq<=6.0.0
activemq<6.1.2
【修复建议】：
将组件 org.apache.activemq:apache-activemq组件 升级至 6.1.2 及以上版本。
Cacti 是一款基于 PHP 开发的网络流量监测图形分析工具。由于Cacti 1.2.27之前的版本中 /lib/import.php 文件的 import_package 函数未对用户导入的模板文件内容做限制，具有“导入模板”权限的攻击者可以通过构造恶意的模板文件对目标进行攻击，从而执行任意代码。
【漏洞编号】：CVE-2024-25641
【漏洞等级】：高危
【影响版本】：
Cacti < 1.2.27
【修复建议】：
厂商已发布了最新版本，请及时关注更新：https://github.com/Cacti/cacti
Zabbix是一个基于Web界面的提供分布式系统监视以及网络监视功能的企业级的开源解决方案。它提供了实时监控、数据收集、警报通知、报表生成等多种功能，广泛应用于各类 IT 基础设施的监控和管理。
Zabbix-监控系统组件存在SQL注入漏洞的信息，攻击者可以利用时间盲注将sql注入到审计记录中，导致信息泄露和代码执行。
【漏洞编号】：CVE-2024-22120
【漏洞等级】：高危
【影响版本】：
Zabbix server≤6.0.0
Zabbix server≥ 6.0.276.4.0
【修复建议】：
Zabbix官方已将发布新版本修复该漏洞，请在影响范围内的用户将Zabbix升级到最新版本。链接：https://www.zabbix.com/download
Sonatype Nexus Repository3 任意文件下载漏洞
Nexus 是一个强大的 Maven 仓库管理器，它极大地简化了自己内部仓库的维护和外部仓库的访问。Sonatype Nexus Repository3 存在路径遍历漏洞，攻击者可以利用该漏洞下载任意文件，导致信息泄露。
【漏洞编号】：CVE-2024-4956
【漏洞等级】：高危
【影响版本】：
Sonatype Nexus < 3.68.1
【修复建议】：
更新Nexus到最新版本以免受该漏洞的影响，链接：
https://www.sonatype.com/products/sonatype-nexus-oss-download
Git是一款免费开源的分布式版本控制系统，支持在多个系统中安装运行，广泛用于协作开发和管理软件项目。 在开发项目中如果需要在两个独立项目中，如果需要在一个项目中去使用另一个项目，可通过git的子模块来解决这个问题。通过 git submodule命令进行添加子模块，clone的时候通过recursive选项进行递归clone子模块。
该漏洞将会在受害者通过git clone --recursive去下载远程攻击者创建带有特殊子模块和符号链接的恶意存储库时触发恶意脚本，从而造成远程代码执行，因此该漏洞可能将被用于钓鱼或投毒。
【漏洞编号】：CVE-2024-32002
【漏洞等级】：高危
【影响版本】：
git 2.45.0
git 2.44.0
2.43.0<=git < 2.43.4
2.42.0<= git< 2.42.2
git 2.41.0
2.40.0<=git < 2.40.2
git < 2.39.4
【修复建议】：
厂商(https://github.com/git/git/tags)已发布修复版本，请将Git更新到如下版本：
v2.45.1，v2.44.1，v2.43.4，v2.42.2v2.41.1
v2.40.2，v2.39.4
Ivanti Connect Secure代码执行漏洞
Ivanti Connect Secure和Ivanti Policy Secure都是美国Ivanti公司的产品。Ivanti Connect Secure是安全远程网络连接工具。Ivanti Policy Secure是一个网络访问控制 (NAC) 解决方案。
Ivanti Connect Secure和Ivanti Policy Secure存在代码问题漏洞，该漏洞源于存在XML外部实体注入漏洞，允许攻击者在不知情的情况下访问某些受限资源。
【漏洞编号】：CVE-2024-22024
【漏洞等级】：高危
【影响版本】：
Ivanti Connect_Secure 22.4
Ivanti Connect_Secure 9.1
Ivanti Connect_Secure 22.5
【修复建议】：
官方已发布升级补丁以修复漏洞，补丁获取链接：
https://forums.ivanti.com/s/article/CVE-2024-22024-XXE-for-Ivanti-Connect-Secure-and-Ivanti-Policy-Secure?language=en_US
联系电话：400-006-9660
联系邮箱：service@anqia.com
公司地址：山西综改示范区太原学府园区东渠路西二巷6号智创城A座1711室
