安全卫士 | 魔方安全漏洞周报

• Jenkins weekly ≤ 2.478

• Jenkins LTS ≤ 2.462.2

漏洞名称：Jenkins 信息泄露漏洞

漏洞等级：中危

CVE编号：CVE-2024-47803

漏洞详情：

Jenkins为多行secret提供了secretTextarea表单字段，但受影响版本中不会处理涉及secretTextarea表单字段的表单提交生成的错误消息中的多行secret值，这可能导致一些敏感信息暴露于日志中。

漏洞名称：Jenkins中的项创建限制绕过漏洞

漏洞等级：中危

CVE编号：CVE-2024-47804

漏洞详情：

Jenkins提供了API来细粒度地控制项目的创建：授权策略可以禁止在给定的项组中创建给定类型的项（ACL #hasetranspermission2）、项类型可以禁止在给定项组中创建新实例（TopLevelItemDescriptor#isApplicationIn（ItemGroup））。如果尝试通过Jenkins CLI或REST API创建禁止类型的项，且上述检查中的任何一个失败，受影响版本将在内存中创建该项，仅从磁盘删除。这使得具有Item/Create权限的攻击者能够绕过这些限制，创建临时项。有了Item/Configure权限，他们还可以保存项目以持久化它。如果尝试通过Jenkins CLI或REST API创建禁止类型的项目，并且上述检查中的任何一个失败，则Jenkins 2.479，LTS 2.462.3不会将该项目保留在内存中。

• Redis ≥ 2.6

漏洞名称：Redis 缓冲区溢出漏洞

漏洞类型：缓冲区溢出

漏洞等级：高危

CVE编号：CVE-2024-31449

漏洞详情：

经过身份验证的用户可以使用巧尽心思构建的Lua脚本来触发位库中的堆栈缓冲区溢出，这可能会导致远程代码执行。这个问题存在于所有使用Lua脚本的Redis版本中。

目前官方已发布安全版本，受影响用户可下载。

参考链接：https://github.com/redis/redis/tags

漏洞类型：命令注入

漏洞等级：高危

CVE编号：CVE-2024-45519

漏洞详情：

Zimbra Collaboration (ZCS)多个受影响版本中，当启用postjournal 服务时，由于传递给popen()的用户输入未经清理，导致存在命令注入漏洞，未经身份验证的威胁者可通过发送恶意请求在目标系统中执行命令，从而获取服务器权限。

目前官方已发布了相关安全补丁，受影响用户可下载安装。

参考链接：https://www.zimbra.com/downloads/

漏洞类型：命令注入

漏洞等级：高危

CVE编号：CVE-2024-45720

漏洞详情：

在 Windows 平台上，Subversion 的可执行文件（如 svn.exe 等）进行 “最佳匹配” 字符编码转换命令行参数时可能导致意外的命令行参数解释，包括参数注入和执行其他程序，特定构造的命令行参数字符串被处理时会出现此问题。

目前官方已发布安全版本，受影响用户可下载安装。

参考链接：https://subversion.apache.org

漏洞类型：文件上传

漏洞等级：高危

CVE编号：CVE-2024-47823

漏洞详情：

由于 Laravel Livewire 文传文件时根据 MIME 类型猜测文件扩展名，而不验证文件名中的实际文件扩展名，攻击者可上传具有有效 MIME 类型（如 “image/png”）和 “.php” 文件扩展名的文件来绕过验证，在满足一定条件下可进行远程代码执行攻击。

目前官方已发布相关补丁或安全版本，受影响用户可下载安装。

参考链接：

https://github.com/livewire/livewire/releases

漏洞类型：SQL注入

漏洞等级：高危

CVE编号：CVE-2024-9465

漏洞详情：

该漏洞允许未经验证的攻击者获取 Expedition 数据库内容，例如密码哈希、用户名、设备配置和设备 API 密钥。利用这一点，攻击者还可以在 Expedition 系统上创建和读取任意文件。

目前官方已发布相关安全版本或补丁，受影响用户可下载安装。

下载链接：

https://live.paloaltonetworks.com/t5/expedition/ct-p/migration_tool

漏洞类型：远程代码执行

漏洞等级：高危

CVE编号：CVE-2024-40711

漏洞详情：

Veeam Backup & Replication中存在反序列化漏洞和授权不当问题，CDbCryptoKeyInfo类（白名单可序列化类，可通过.NET Remoting反序列化访问）的反序列化过程中将二次调用 CProxyBinaryFormatter.Deserialize 方法（使用黑名单模式而不是之前的白名单模式），由于黑名单中对ObjRef类限制不当，以及IsConnectingIdentityAuthorized方法允许匿名连接，导致未经身份验证的攻击者可通过构造特定的序列化数据在反序列化时触发远程对象的调用，从而导致代码执行。

目前官方已发布相关安全版本或补丁，受影响用户可下载安装。

下载链接：

https://www.veeam.com/products/downloads.html