华云安漏洞安全周报【第173期】

威胁等级：高危

漏洞描述：

2024年02月08日，华云安思境安全团队监测发现 imlib2 官方发布安全通告，披露了 imlib2 v1.9.1版本存在缓冲区错误漏洞。imlib2是一个功能全面的库，专门用于加载、保存、渲染和处理图像文件，为开发者提供了便捷且高效的图像处理工具集。攻击者可能使用特别构造的图像文件，通过解析其中的内容，触发堆缓冲区溢出漏洞。

情报来源：

https://git.enlightenment.org/old/legacy-imlib2/issues/20 

威胁等级：高危

漏洞描述：

2024年02月09日，华云安思境安全团队监测到 Envoy 官方发布安全通告，披露了 Envoy 1.29.1之前版本存在资源管理错误漏洞。Envoy 是一款开源的分布式代理服务器。该漏洞主要发生在特定的时间间隔内，当多个超时事件同时发生时，会导致系统拒绝服务。

情报来源：

https://github.com/envoyproxy/envoy/commit/843f9e6a123ed47ce139b421c14e7126f2ac685e 

威胁等级：高危

漏洞描述：

2024年02月09日，华云安思境安全团队监测发现 Apache 官方发布安全通告，披露了 Apache Solr 6.0.0 版本至8.11.2 版本、9.0.0 版本至 9.3.0 之前版本存在敏感信息泄露漏洞。Apache Solr 是一个基于 Lucen 开源的搜索服务器，支持层面搜索、垂直搜索、高亮显示搜索结果。漏洞存在于系统属性编辑功能中，由于逻辑处理的不一致性，可能会导致密码等敏感信息的潜在泄露风险。

情报来源：

https://solr.apache.org/security.html#cve-2023-50291-apache-solr-can-leak-certain-passwords-due-to-system-property-redaction-logic-inconsistencies 

威胁等级：高危

漏洞描述：

2024年02月10日，华云安思境安全团队监测发现 PKG 官方发布安全通告，披露了 pkg 5.8.1及之前版本存在文件替换漏洞。该漏洞是由于构建的PKG代码包默认将文件写入硬编码目录，使得攻击者有机会利用同名的恶意可执行文件替换共享目录中的合法文件。攻击者可能利用这一漏洞执行恶意代码，对系统安全构成严重威胁。

情报来源：

https://github.com/vercel/pkg/security/advisories/GHSA-22r3-9w55-cj54