华云安漏洞安全周报【第142期】

根据，本周（2023.07.03~2023.07.09）CNNVD接报漏洞154个，其中信息技术产品漏洞（通用型漏洞）107个，网络信息系统漏洞（事件型漏洞）47个；CNNVD收录漏洞通报51份。

本周重点关注漏洞包括：CVE-2023-31543-Pipreqs 代码执行漏洞、Smartbi 多个高危漏洞、CVE-2023-20899 VMware SD-WAN 安全漏洞、CVE-2023-3484-GitLab 访问控制不当漏洞、CVE-2023-3269-Linux Kernel 权限提升漏洞。漏洞影响范围较广，华云安建议相关用户做好资产自查与预防工作。

01 CVE-2023-31543-Pipreqs 代码执行漏洞

威胁等级：超危

漏洞描述：

2023年07月03日，华云安思境安全团队监测到互联网上披露了 pipreq 中存在一处代码执行漏洞。pipreqs 是一个受欢迎的用于管理项目中依赖库的工具，可以用 pip install pipreqs命令来安装。pipreqs v0.3.0 至 v0.4.11 中的依赖项混淆允许攻击者通过将精心设计的 PyPI 包上传到所选存储库服务器来执行任意代码。

情报来源：

02 Smartbi 多个高危漏洞

威胁等级：高危

漏洞描述：

2023年07月04日，华云安思境安全团队监测到 Smartbi 官方发布了安全通告，披露了 Smartbi 远程代码执行漏洞和 Smartbi 信息泄漏漏洞。Smartbi 是商业智能BI和数据分析品牌，为企业客户提供一站式商业智能解决方案。漏洞存在于Smartbi中，一个是远程代码执行漏洞。经过身份验证的攻击者可权登录系统，并可进一步利用系统功能执行任意代码，从而控制服务器；另一个是登录代码逻辑漏洞，攻击者可利用该漏洞对目标系统进行攻击，可窃取敏感信息。

情报来源：

03 CVE-2023-20899 VMware SD-WAN 安全漏洞

威胁等级：高危

漏洞描述：

2023年07月06日，华云安思境安全团队监测发现 Vmware 官方发布安全通告，VMware SD-WAN存在身份认证绕过漏洞。SD-WAN 是一个高度可用的、成熟的运营商级解决方案,有助于在网络中任意两点之间按需建立无缝、安全的连接。若配置不当，未经身份验证的攻击者可以下载应用程序的诊断包。

情报来源：

04 CVE-2023-3484-GitLab 访问控制不当漏洞

威胁等级：高危

漏洞描述：

2023年07月06日，华云安思境安全团队监测到 GitLab 官方发布安全通告，披露了 GitLab企业版（EE）中存在一处访问控制不当漏洞。GitLab企业版（EE）版本12.8 - 15.11.11之前、16.0 -16.0.7 之前、16.1 -16.1.2 之前存在访问控制不当，成功利用此漏洞的攻击者可更改公共顶级组的名称或路径。

情报来源：

05 CVE-2023-3269-Linux Kernel 权限提升漏洞

威胁等级：高危

漏洞描述：

2023年07月07日，华云安思境安全团队监测到互联网上披露了 Linux Kernel 中存在一处权限提升漏洞。Linux内核是 Linux 操作系统（OS）的主要组件，也是计算机硬件与其进程之间的核心接口。Linux 内核版本6.1- 6.4在处理堆栈扩展时存在漏洞，访问和更新虚拟内存区域 (VMA) 的锁处理不正确，导致释放后使用问题。该问题可被成功利用来执行任意内核代码、升级容器并获取 root 权限。

情报来源：

华云安

华云安是一家深耕于网络空间安全领域的高新技术企业，专注于漏洞研究、攻防对抗、产品研发、安全服务；致力于对主动防御、情报协同、溯源反制能力进行融合创新，以攻击者视角构建攻击面管理安全能力平台，提供新一代网络安全对抗防御解决方案。公司服务于国家网络安全监管部门及金融、能源、教育、医疗等关键信息基础设施行业。

公司持续构建的原子化安全能力平台，秉承数据驱动、AI引领的理念，通过基于知识图谱的安全风险库和场景化人工智能引擎两大核心技术，结合不同的业务需求灵活组合安全能力，实现一个平台覆盖所有安全能力。