根据国家信息安全漏洞库（CNNVD）统计，2024.05.13~2024.05.19 CNNVD接报漏洞197个，其中信息技术产品漏洞（通用型漏洞）176个，网络信息系统漏洞（事件型漏洞）21个；CNNVD收录漏洞通报68份。
重点关注漏洞包括：CVE-2024-4701 Netflix Genie 路径遍历漏洞、CVE-2024-30292 Adobe Framemaker 缓冲区错误漏洞 、CVE-2024-27260 IBM AIX 代码执行漏洞、CVE-2024-3848 Mlflow 安全漏洞、CVE-2024-5052 Cerberus FTP Enterprise 资源管理错误漏洞、CVE-2024-25641 Cacti 任意文件写入漏洞。漏洞影响范围较广，华云安建议相关用户做好资产自查与预防工作。
01 CVE-2024-4701 Netflix Genie 路径遍历漏洞
威胁等级：超危
漏洞描述：
2024年05月14日，华云安思境安全团队监测发现 Netflix 官方发布安全通告，披露了 Netflix Genie 4.3.18 之前版本存在路径遍历漏洞。Netflix Genie 是一款先进的大数据编排和执行引擎，它通过高效的数据处理能力，为公司提供了高效的数据管理和分析支持。攻击者可利用此漏洞在服务器上远程执行代码。
情报来源：
https://github.com/Netflix/genie/security/advisories/GHSA-wpcv-5jgp-69f3
02 CVE-2024-30292 Adobe Framemaker 缓冲区错误漏洞
威胁等级：高危
漏洞描述：
2024年05月15日，华云安思境安全团队监测发现 Adobe 官方发布安全更新，披露了 Adobe Framemaker 2020.5 版本和 2022.3 版本存在缓冲区错误漏洞。Adobe Framemaker是一款专业的页面排版软件，它专为编写和编辑大型、复杂文档而设计，支持结构化文档的高效管理和制作。攻击者可以利用此漏洞在当前用户的上下文中执行任意代码。
情报来源：
https://helpx.adobe.com/security/products/framemaker/apsb24-37.html
03 CVE-2024-27260 IBM AIX 代码执行漏洞
威胁等级：高危
漏洞描述：
2024年05月16日，华云安思境安全团队监测发现 IBM 官方发布安全通告，披露了 IBM AIX 7.2版本、7.3版本、VIOS 3.1版本、VIOS 4.1版本存在代码执行漏洞。IBM AIX 是 IBM 公司开发的UNIX操作系统，专为 IBM Power 系统架构设计，它不仅为企业提供了一个稳定而强大的计算平台，还支持关键任务的执行和复杂的工作负载处理。攻击者可利用该漏洞执行任意命令。
情报来源：
https://www.ibm.com/support/pages/node/7152543
04 CVE-2024-3848 Mlflow 安全漏洞
威胁等级：高危
漏洞描述：
2024年05月16日，华云安思境安全团队监测发现 Mlflow 官方发布安全更新，披露了 Mlflow 2.11.0 版本存在安全漏洞。Mlflow是一个开源平台，专为机器学习生命周期的每个阶段提供支持，包括实验跟踪、模型打包、部署和注册等。攻击者可利用URL片段部分验证不足的漏洞，通过路径遍历技术读取服务器上的任意文件。
情报来源：
https://github.com/mlflow/mlflow/commit/f8d51e21523238280ebcfdb378612afd7844eca8
05 CVE-2024-5052 Cerberus FTP Enterprise 资源管理错误漏洞
威胁等级：高危
漏洞描述：
2024年05月17日，华云安思境安全团队监测发现 Cerberus FTP 官方发布安全更新，披露了 Cerberus FTP Enterprise 8.0.10.3 版本存在资源管理错误漏洞。Cerberus FTP Server 是一款先进的Windows平台FTP服务器软件，它支持通过FTPS和SFTP协议进行安全的加密FTP会话，为用户提供了一个可靠且高效的文件传输解决方案。攻击者可利用此漏洞执行拒绝服务攻击，导致服务中断或性能下降。
情报来源：
https://www.cerberusftp.com/download/
06 CVE-2024-25641 Cacti 任意文件写入漏洞
威胁等级：超危
漏洞描述：
2024年05月18日，华云安思境安全团队发现 Cacti 官方发布了安全通告，披露了 Cacti 1.2.27之前版本存在任意文件写入漏洞。Cacti 是一个开源的网络流量监测与分析工具，它通过SNMP协议收集数据，利用RRDtool绘制图形并进行深入分析，提供全面的数据与用户管理功能。攻击者可利用此漏洞在Web服务器上执行任意代码。
情报来源：
https://github.com/Cacti/cacti/security/advisories/GHSA-7cmj-g5qc-pj88
华云安
华云安是一家深耕于网络空间安全领域的高新技术企业，专注于漏洞研究、攻防对抗、产品研发、安全服务；致力于对主动防御、情报协同、溯源反制能力进行融合创新，以攻击者视角构建攻击面管理安全能力平台，提供新一代网络安全对抗防御解决方案。公司服务于国家网络安全监管部门及金融、能源、教育、医疗等关键信息基础设施行业。
公司持续构建的原子化安全能力平台，秉承数据驱动、AI引领的理念，通过基于知识图谱的安全风险库和场景化人工智能引擎两大核心技术，结合不同的业务需求灵活组合安全能力，实现一个平台覆盖所有安全能力。
