雷神众测漏洞周报2024.06.24-2024.06.30
共 5580字，需浏览 12分钟
·
2024-07-01 15:04
摘要
以下内容，均摘自于互联网，由于传播，利用此文所提供的信息而造成的任何直接或间接的后果和损失，均由使用者本人负责，雷神众测以及文章作者不承担任何责任。
雷神众测拥有该文章的修改和解释权。如欲转载或传播此文章，必须保证此文章的副本，包括版权声明等全部内容。声明雷神众测允许，不得任意修改或增减此文章内容，不得以任何方式将其用于商业目的。
目录
1.Apache Kafka UI 存在远程代码执行漏洞
2.GitLab存在身份验证绕过漏洞
3.用友 U8cloud 系统MeasQueryConditionFrameAction.doCopy接口SQL注入漏洞
4.Microsoft Exchange Server远程代码执行漏洞
漏洞详情
1.Apache Kafka UI 存在远程代码执行漏洞
漏洞介绍：
Apache Kafka是一个开源消息系统项目，由Scala写成。该项目的目标是为处理实时数据提供一个统一、高通量、低等待的平台。
漏洞危害：
其提供了通过连接到JMX 端口来监控 Kafka 代理性能的功能。JMX 基于 RMI 协议，因此容易受到反序列化攻击。潜在攻击者可以通过将 Kafka UI 后端连接到其自己的恶意代理来利用此功能。
漏洞编号：
CVE-2024-32030
影响范围：
Apache Kafka UI < 0.7.2
修复方案：
及时测试并升级到最新版本或升级版本
来源:安恒信息CERT
2.GitLab存在身份验证绕过漏洞
漏洞介绍：
GitLab 是一个用于仓库管理系统的开源项目，使用Git作为代码管理工具，并在此基础上搭建起来的Web服务。
漏洞危害：
该漏洞允许攻击者在某些情况下以其他用户的身份触发pipeline。
漏洞编号：
CVE-2024-5655
影响范围：
15.8 <= GitLab CE/EE < 16.11.5
17.0 <= GitLab CE/EE < 17.0.3
17.1 <= GitLab CE/EE < 17.1.1
修复方案：
及时测试并升级到最新版本或升级版本
来源：安恒信息CERT
3.用友 U8cloud 系统MeasQueryConditionFrameAction.doCopy接口SQL注入漏洞
漏洞介绍：
用友U8cloud 是用友网络科技股份有限公司推出的面向企业的云端ERP（企业资源计划）解决方案。
漏洞危害：
受影响版本中MeasQueryConditionFrameAction.doCopy接口存在SQL注入漏洞，未授权的攻击者可利用该漏洞窃取数据库敏感信息。
影响范围：
u8_cloud@[1.0, 5.0sp]
修复方案：
及时测试并升级到最新版本或升级版本
来源：OSCS
4.Microsoft Exchange Server远程代码执行漏洞
漏洞介绍：
Microsoft Exchange Server是美国微软（Microsoft）公司的一套电子邮件服务程序。它提供邮件存取、储存、转发，语音邮件，邮件过滤筛选等功能。
漏洞危害：
Microsoft Exchange Server存在远程代码执行漏洞，攻击者利用该漏洞在系统上执行任意代码。
漏洞编号：
CVE-2024-26198
影响范围：
Microsoft Exchange Server 2016 Cumulative Update 23
Microsoft Exchange Server 2019 Cumulative Update 13
Microsoft Exchange Server 2019 Cumulative Update 14
修复方案：
及时测试并升级到最新版本或升级版本
来源：CNVD
专注渗透测试技术
全球最新网络攻击技术