三、 漏洞通告

根据影响范围、危害程度等因素，筛选近期各大漏洞数据库公开披露的风险较大的漏洞，可依据此表进行安全风险识别、风险自查和漏洞修补。
汇总列表如下：

序号	漏洞名称	等级	公开时间
3.1	PyTorch反序列化漏洞（CVE-2024-48063）	高危	2024-11-01
3.2	Google Chrome Serial释放后重用漏洞（CVE-2024-10827）	高危	2024-11-06
3.3	Cisco Unified Industrial Wireless Software命令注入漏洞（CVE-2024-20418）	高危	2024-11-07
3.4	Apache ZooKeeper身份验证绕过漏洞（CVE-2024-51504）	高危	2024-11-07
3.5	HPE Aruba Networking Access Points命令注入漏洞（CVE-2024-42509）	高危	2024-11-08
3.6	XStream拒绝服务漏洞（CVE-2024-47072）	高危	2024-11-08
3.7	Laravel注入漏洞（CVE-2024-52301）	高危	2024-11-13
3.8	GitLab Kubernetes集群代理未授权访问漏洞（CVE-2024-9693）	高危	2024-11-14
3.9	Palo Alto Networks Expedition命令注入漏洞（CVE-2024-9463）	高危	2024-11-15
3.10	PostgreSQL代码执行漏洞（CVE-2024-10979）	高危	2024-11-15
3.11	Apache OFBiz远程代码执行漏洞（CVE-2024-47208）	高危	2024-11-18
3.12	Palo Alto Networks PAN-OS身份验证绕过漏洞（CVE-2024-0012）	高危	2024-11-19
3.13	Oracle Agile PLM Framework文件泄露漏洞（CVE-2024-21287）	高危	2024-11-20
3.14	NVIDIA Base Command Manager身份验证缺失漏洞（CVE-2024-0138）	高危	2024-11-22
3.15	Wget服务器端请求伪造漏洞（CVE-2024-10524）	中危	2024-11-20

 

3.1 PyTorch反序列化漏洞（CVE-2024-48063）

公开时间：2024-11-01
漏洞等级：高危
漏洞类型：反序列化
漏洞利用细节是否公开：已公开
漏洞概述：
PyTorch 2.4.1及之前版本的分布式RPC框架中存在反序列化漏洞，由于RemoteModule在反序列化过程中没有适当地验证或清理输入数据，导致攻击者可以通过客户端将包含恶意方法的RemoteModule实例序列化为数据，并通过RPC框架发送到服务器触发反序列化，从而可能导致在服务器上远程执行任意命令。
影响范围：
PyTorch <= 2.4.1
安全建议：
目前该漏洞已经修复，受影响用户可升级到以下版本：
PyTorch > 2.4.1
下载链接：
https://github.com/pytorch/pytorch/releases

3.2 Google Chrome Serial释放后重用漏洞（CVE-2024-10827）

公开时间：2024-11-06
漏洞等级：高危
漏洞类型：Use-After-Free
漏洞利用细节是否公开：未公开
漏洞概述：
Google Chrome 130.0.6723.116之前版本在Serial组件中存在Use-After-Free漏洞，攻击者可能通过恶意设计的网页或脚本来诱导用户访问包含恶意代码的页面，从而在访问串行端口的过程中触发该漏洞，成功利用可能导致浏览器崩溃、窃取数据甚至控制连接的设备、远程代码执行和沙箱逃逸等。
影响范围：
Google Chrome（Windows/Mac）版本 < 130.0.6723.116/.117
Google Chrome（Linux）版本 < 130.0.6723.116
安全建议：
目前该漏洞已经修复，受影响用户可升级到以下版本：
Google Chrome（Windows/Mac）版本 >= 130.0.6723.116/.117
Google Chrome（Linux）版本 >= 130.0.6723.116
下载链接：
https://www.google.cn/chrome/
手动检查更新：
Chrome用户可通过Chrome 菜单-【帮助】-【关于 Google Chrome】检查版本更新，并在更新完成后重新启动。

3.3 Cisco Unified Industrial Wireless Software命令注入漏洞（CVE-2024-20418）

公开时间：2024-11-07
漏洞等级：高危
漏洞类型：命令注入
漏洞利用细节是否公开：未公开
漏洞概述：
由于对用户提供的输入缺乏充分验证，Cisco Unified Industrial Wireless Software for URWB Access Points的基于Web的管理界面中存在命令注入漏洞，未经身份验证的远程攻击者可以通过向受影响系统的目标管理界面发送恶意设计的HTTP请求来利用该漏洞，成功利用可导致在受影响设备的底层系统上以root权限执行任意命令。
影响范围：
受影响产品
如果以下思科产品运行存在漏洞的版本并启用了 URWB 操作模式，则受该漏洞影响，未以URWB 模式运行的思科产品不受该漏洞的影响：
Catalyst IW9165D Heavy Duty Access Points
Catalyst IW9165E Rugged Access Points和Wireless Clients
Catalyst IW9167E Heavy Duty Access Points
 
受影响版本
Cisco Unified Industrial Wireless Software <= 17.14
Cisco Unified Industrial Wireless Software 17.15
 
确定是否已启用URWB操作模式
要确定 URWB 操作模式是否已启用，可使用show mpls-config CLI 命令，如果该命令可用，则 URWB 操作模式已启用，且设备受该漏洞影响；如果该命令不可用，则 URWB 操作模式已禁用，且设备不受该漏洞影响。
安全建议：
目前该漏洞已经修复，使用受影响设备的用户可更新到以下版本：
Cisco Unified Industrial Wireless Software 17.14及之前版本：迁移到修复版本
Cisco Unified Industrial Wireless Software 17.15：升级到17.15.1或更高版本
下载链接：
https://www.cisco.com/c/en/us/support/index.html

3.4 Apache ZooKeeper身份验证绕过漏洞（CVE-2024-51504）

公开时间：2024-11-07
漏洞等级：高危
漏洞类型：身份验证绕过
漏洞利用细节是否公开：未公开
漏洞概述：
Apache ZooKeeper 3.9.0 - 3.9.3之前版本中存在身份验证绕过漏洞（CVE-2024-51504），当ZooKeeper Admin Server使用基于IP的身份验证（IPAuthenticationProvider）时，由于默认配置下使用了可被轻易伪造的HTTP请求头（如X-Forwarded-For）来检测客户端IP地址，攻击者可通过伪造请求头中的IP地址来绕过身份验证，进而实现未授权访问管理服务器功能并任意执行管理服务器命令（例如快照和恢复），从而可能导致信息泄露或服务可用性问题。
影响范围：
3.9.0 <= Apache ZooKeeper < 3.9.3
安全建议：
目前该漏洞已经修复，受影响用户可升级到以下版本：
Apache ZooKeeper >= 3.9.3
下载链接：
https://zookeeper.apache.org/releases.html

3.5 HPE Aruba Networking Access Points命令注入漏洞（CVE-2024-42509）

公开时间：2024-11-08
漏洞等级：高危
漏洞类型：命令注入
漏洞利用细节是否公开：未公开
漏洞概述：
由于HPE Aruba Networking Access Points底层 CLI 服务中存在命令注入漏洞，可能导致未经身份验证的威胁者通过向 PAPI（Aruba的接入点管理协议）UDP 端口 (8211) 发送特制数据包导致远程命令执行，成功利用该漏洞可能导致在底层操作系统上以特权用户身份执行任意命令或代码。
影响范围：

受影响产品	受影响的软件版本（受支持）	受影响的已终止维护 (EoM)版本
运行 Instant AOS-8 和 AOS 10 的 Aruba Access Points	AOS-10.4.x.x<=10.4.1.4   Instant   AOS-8.12.x.x<=8.12.0.2 Instant   AOS-8.10.x.x<= 8.10.0.13	AOS-10.6.x.x:   全部 AOS-10.5.x.x:   全部 AOS-10.3.x.x:   全部 Instant   AOS-8.11.x.x: 全部 Instant   AOS-8.9.x.x: 全部 Instant   AOS-8.8.x.x: 全部 Instant   AOS-8.7.x.x: 全部 Instant   AOS-8.6.x.x: 全部 Instant   AOS-8.5.x.x: 全部 Instant   AOS-8.4.x.x: 全部 Instant   AOS-6.5.x.x: 全部 Instant   AOS-6.4.x.x: 全部

 
安全建议：
目前HPE Aruba Networking 已针对运行Instant AOS-8 和 AOS-10 的 Aruba Access Points 发布了软件补丁，受影响用户可升级到以下相应修复版本（运行EoM软件的用户可升级到受支持的版本）：
AOS-10.7.x.x >=10.7.0.0
AOS-10.4.x.x >=10.4.1.5
Instant AOS-8.12.x.x >=8.12.0.3
Instant AOS-8.10.x.x >=8.10.0.14
下载链接：
https://networkingsupport.hpe.com/home

3.6 XStream拒绝服务漏洞（CVE-2024-47072）

公开时间：2024-11-08
漏洞等级：高危
漏洞类型：栈溢出、Dos
漏洞利用细节是否公开：未公开
漏洞概述：
XStream 1.4.21之前版本中，当 XStream 配置为使用 BinaryStreamDriver 时，由于在反序列化某些特定输入时处理不当，攻击者可以通过构造特定的二进制数据流作为输入，导致在反序列化时进入无限递归，从而触发栈溢出，使应用程序崩溃并导致服务中断，造成拒绝服务。
影响范围：
XStream < 1.4.21
安全建议：
目前该漏洞已经修复，受影响用户可升级到以下版本：
XStream >= 1.4.21
下载链接：
https://x-stream.github.io/download.html

3.7 Laravel注入漏洞（CVE-2024-52301）

公开时间：2024-11-13
漏洞等级：高危
漏洞类型：环境变量注入
漏洞利用细节是否公开：未公开
漏洞概述：
Laravel框架受影响版本中，由于框架在非CLI模式下处理请求时未正确隔离PHP的argv参数，当register_argc_argv PHP指令被设置为on时，攻击者可以通过向任意URL发送附带特制查询字符串的请求，来更改框架在请求处理时使用的环境配置，成功利用该漏洞可能导致敏感信息泄露、权限提升、应用崩溃或配置被篡改等。
影响范围：
Laravel < 6.20.45
7.0.0 <= Laravel < 7.30.7
8.0.0 <= Laravel < 8.83.28
9.0.0 <= Laravel < 9.52.17
10.0.0 <= Laravel < 10.48.23
11.0.0 <= Laravel < 11.31.0
安全建议：
目前该漏洞已经修复，受影响用户可升级到Laravel 6.20.45、7.30.7、8.83.28、9.52.17、10.48.23、11.31.0或更高版本。
下载链接：
https://github.com/laravel/framework/tags

3.8 GitLab Kubernetes集群代理未授权访问漏洞（CVE-2024-9693）

公开时间：2024-11-14
漏洞等级：高危
漏洞类型：未授权访问
漏洞利用细节是否公开：未公开
漏洞概述：
该漏洞源于特定配置下的权限控制不当，允许低权限用户通过某些方式未授权访问 Kubernetes 集群代理，成功利用该漏洞可能导致数据泄露、篡改或服务中断等。
影响范围：
16.0 <= GitLab CE/EE < 17.3.7
17.4 <= GitLab CE/EE < 17.4.4
17.5 <= GitLab CE/EE < 17.5.2
安全建议：
目前该漏洞已经修复，受影响用户可升级到GitLab CE/EE 17.5.2、17.4.4、17.3.7或更高版本。
下载链接：
https://about.gitlab.com/
 

3.9 Palo Alto Networks Expedition命令注入漏洞（CVE-2024-9463）

公开时间：2024-11-15
漏洞等级：高危
漏洞类型：命令注入
漏洞利用细节是否公开：已公开
漏洞概述：
Palo Alto Networks Expedition受影响版本中convertCSVtoParquet 接口存在命令注入漏洞，其CVSS评分为9.9，成功利用该漏洞可能导致未经身份验证的攻击者在Expedition中以root 身份运行任意系统命令，从而导致 PAN-OS 防火墙的用户名、明文密码、设备配置和设备API密钥泄露。目前该漏洞的PoC已公开，且已发现被利用。
影响范围：
Palo Alto Networks Expedition < 1.2.96
安全建议：
目前这些漏洞已经修复，受影响用户可升级到以下版本：
Palo Alto Networks Expedition >= 1.2.96
下载链接：
https://live.paloaltonetworks.com/t5/expedition/ct-p/migration_tool
 

3.10 PostgreSQL代码执行漏洞（CVE-2024-10979）

公开时间：2024-11-15
漏洞等级：高危
漏洞类型：代码执行
漏洞利用细节是否公开：未公开
漏洞概述：
PostgreSQL多个受影响版本中，当PL/Perl扩展被安装并启用时，由于PL/Perl扩展未能正确控制环境变量，导致非特权数据库用户可以修改敏感的进程环境变量（如PATH），并可能利用该漏洞执行任意代码、获得对数据库服务器的未授权访问权限，或者执行数据窃取、数据篡改或破坏等恶意操作。
影响范围：
PostgreSQL 17 < 17.1
PostgreSQL 16 < 16.5
PostgreSQL 15 < 15.9
PostgreSQL 14 < 14.14
PostgreSQL 13 < 13.17
PostgreSQL 12 < 12.21
安全建议：
目前该漏洞已经修复，受影响用户可升级到PostgreSQL 17.1、16.5、15.9、14.14、13.17、12.21或更高版本。
下载链接：
https://www.postgresql.org/download/

3.11 Apache OFBiz远程代码执行漏洞（CVE-2024-47208）

公开时间：2024-11-18
漏洞等级：高危
漏洞类型：代码注入
漏洞利用细节是否公开：未公开
漏洞概述：
由于在处理URL参数时未正确对特殊字符进行转义和编码，攻击者可以构造恶意URL参数绕过 SameSite cookie限制，通过目标重定向和服务器端模板注入（SSTI）实现跨站请求伪造（CSRF）攻击，进而触发远程代码执行。
影响范围：
Apache OFBiz < 18.12.17
安全建议：
目前这些漏洞已经修复，受影响用户可升级到以下版本：
Apache OFBiz >= 18.12.17
下载链接：
https://ofbiz.apache.org/download.html
 

3.12 Palo Alto Networks PAN-OS身份验证绕过漏洞（CVE-2024-0012）

公开时间：2024-11-19
漏洞等级：高危
漏洞类型：身份验证绕过
漏洞利用细节是否公开：未公开
漏洞概述：
CVE-2024-0012：Palo Alto Networks PAN-OS身份验证绕过漏洞
Palo Alto Networks PAN-OS多个受影响版本中存在身份验证绕过漏洞，该漏洞的CVSS评分为9.3，可能导致未经身份验证的攻击者通过网络访问管理Web界面，从而获得PAN-OS管理员权限以执行管理操作、篡改配置或利用其他经过身份验证的特权提升漏洞（如CVE-2024-9474））。
 
CVE-2024-9474：Palo Alto Networks PAN-OS权限提升漏洞
Palo Alto Networks PAN-OS软件中存在权限提升漏洞，该漏洞的CVSS评分为6.9，可能导致具有管理Web 界面访问权限的PAN-OS管理员以root权限对防火墙执行恶意操作。
影响范围：
CVE-2024-0012
PAN OS 11.2 < 11.2.4-h1
PAN OS 11.1 < 11.1.5-h1
PAN OS 11.0 < 11.0.6-h1
PAN OS 10.2 < 10.2.12-h2
 
CVE-2024-9474
PAN-OS 11.2 < 11.2.4-h1
PAN-OS 11.1 < 11.1.5-h1
PAN-OS 11.0 < 11.0.6-h1
PAN-OS 10.2 < 10.2.12-h2
PAN-OS 10.1 < 10.1.14-h6
安全建议：
目前这些漏洞已经修复，受影响用户可升级到以下版本：
CVE-2024-0012
PAN OS 11.2 >= 11.2.4-h1
PAN OS 11.1 >= 11.1.5-h1
PAN OS 11.0 >= 11.0.6-h1
PAN OS 10.2 >= 10.2.12-h2
 
CVE-2024-9474
PAN-OS 11.2 >= 11.2.4-h1
PAN-OS 11.1 >= 11.1.5-h1
PAN-OS 11.0 >= 11.0.6-h1
PAN-OS 10.2 >= 10.2.12-h2
PAN-OS 10.1 >= 10.1.14-h6
 
下载链接：
https://www.paloaltonetworks.com/network-security/pan-os

3.13 Oracle Agile PLM Framework文件泄露漏洞（CVE-2024-21287）

公开时间：2024-11-20
漏洞等级：高危
漏洞类型：信息泄露
漏洞利用细节是否公开：未公开
漏洞概述：
Oracle Agile PLM Framework（组件：Software Development Kit和Pzrocess Extension）中存在信息泄露漏洞，未经身份验证的攻击者可以通过 HTTP 访问并利用该漏洞，从而以PLM应用程序使用的权限下载目标系统上可访问的文件，成功利用该漏洞可能导致未授权访问并获取Oracle Agile PLM Framework 中存储的敏感数据或文件。
影响范围：
Oracle Agile PLM Framework版本9.3.6
安全建议：
目前Oracle已发布了该漏洞的补丁，受影响用户可及时更新。
参考链接：
https://www.oracle.com/security-alerts/alert-cve-2024-21287.html

3.14 NVIDIA Base Command Manager身份验证缺失漏洞（CVE-2024-0138）

公开时间：2024-11-22
漏洞等级：高危
漏洞类型：身份验证缺失
漏洞利用细节是否公开：未公开
漏洞概述：
NVIDIA Base Command Manager 版本10.24.09的 CMDaemon 组件中存在身份验证缺失漏洞，未经身份验证的攻击者可能通过向未受保护的接口/功能发送恶意请求或命令，从而在系统上执行任意代码、导致拒绝服务、权限提升、信息泄露或数据篡改等。
影响范围：
NVIDIA Base Command Manager 10.24.09
安全建议：
目前该漏洞已经修复，受影响用户可升级到NVIDIA Base Command Manager 10.24.09a或更高版本。
下载链接：
https://www.nvidia.com/en-us/
 

3.15 Wget服务器端请求伪造漏洞（CVE-2024-10524）

公开时间：2024-11-20
漏洞等级：中危
漏洞类型：解析不当
漏洞利用细节是否公开：未公开
漏洞概述：
Wget 1.24.5及之前版本中，由于Wget在处理HTTP简写格式URL时解析不当，错误地将包含冒号（:）的用户输入解析为FTP请求，导致将原本应为HTTP请求的URL错误地解析为FTP请求。攻击者可通过控制简写URL中的用户信息部分（例如malwaredomain:aaa@reliableserver）来改变请求目标，从而将请求发送到恶意服务器，该漏洞可能导致服务器端请求伪造攻击、钓鱼攻击、MITM（中间人）攻击和数据泄露等。
影响范围：
Wget <= 1.24.5
安全建议：
目前该漏洞已经修复，受影响用户可升级到Wget 1.25.0或更高版本。
下载链接：
https://mirror.team-cymru.com/gnu/wget/wget-1.25.0.tar.gz