三、 漏洞通告

根据影响范围、危害程度等因素，筛选近期各大漏洞数据库公开披露的风险较大的漏洞，可依据此表进行安全风险识别、风险自查和漏洞修补。
汇总列表如下：

序号	漏洞名称	等级	公开时间
3.1	Progress WhatsUp Gold远程代码执行漏洞（CVE-2024-8785）	高危	2024-12-04
3.2	Veeam Service Provider Console远程代码执行漏洞（CVE-2024-42448）	高危	2024-12-04
3.3	SailPoint IdentityIQ访问控制不当漏洞（CVE-2024-10905）	高危	2024-12-05
3.4	Django Oracle SQL注入漏洞（CVE-2024-53908）	高危	2024-12-05
3.5	Mitel MiCollab身份验证绕过漏洞（CVE-2024-41713）	高危	2024-12-06
3.6	SonicWall SMA100 SSL-VPN缓冲区溢出漏洞（CVE-2024-45318）	高危	2024-12-06
3.7	OpenWrt Attended SysUpgrade命令注入漏洞（CVE-2024-54143）	高危	2024-12-10
3.8	Ivanti Cloud Services Application身份验证绕过漏洞（CVE-2024-11639）	高危	2024-12-11
3.9	Apache Struts 2远程代码执行漏洞（CVE-2024-53677）	高危	2024-12-12
3.10	GitLab Kubernetes Proxy Response NEL头注入漏洞（CVE-2024-11274）	高危	2024-12-12
3.11	Cleo远程代码执行漏洞 ( CVE-2024-50623 )	高危	2024-12-13
3.12	Apache Tomcat竞争条件远程代码执行漏洞（CVE-2024-50379）	高危	2024-12-18
3.13	BeyondTrust RS & PRA命令注入漏洞（CVE-2024-12356）	高危	2024-12-19
3.14	Sophos Firewall SQL注入漏洞（CVE-2024-12727）	高危	2024-12-20
3.15	Apache Tomcat远程代码执行漏洞（CVE-2024-56337）	高危	2024-12-21
3.16	Adobe ColdFusion路径遍历漏洞（CVE-2024-53961）	高危	2024-12-24
3.17	Apache Hive & Spark信息泄露漏洞（CVE-2024-23945）	高危	2024-12-24
3.18	Apache MINA反序列化远程代码执行漏洞（CVE-2024-52046）	高危	2024-12-25
3.19	libxml2 XML外部实体注入漏洞（CVE-2024-40896）	高危	2024-12-26

 

3.1 Progress WhatsUp Gold远程代码执行漏洞（CVE​​-2024-8785）

公开时间：2024-12-04
漏洞等级：高危
漏洞类型：RCE
漏洞利用细节是否公开：已公开
漏洞概述：
Progress Software WhatsUp Gold 2023.1.0 - 2024.0.1之前版本在NmAPI.exe 组件中存在注册表覆盖远程代码执行漏洞，由于NmAPI.exe的UpdateFailoverRegistryValues操作在处理输入数据时缺乏充分验证和授权检查，未经身份验证的远程攻击者可以通过调用位于net.tcp://<目标主机>:9643上的WCF服务接口，向NmAPI.exe发送恶意构造的请求，从而修改位于HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Ipswitch\路径下的注册表值，攻击者可通过将InstallDir更改为指向其控制的UNC路径（例如，\\<attacker-ip>\share\WhatsUp），当系统或ServiceControlManager.exe服务重启时，会从攻击者控制的路径加载恶意配置文件并执行攻击者指定的恶意可执行文件，从而实现远程代码执行。成功利用该漏洞允许攻击者绕过正常的安全机制，获得对受影响系统的完全控制权，从而可能执行任意代码、窃取敏感信息、破坏系统功能或部署持久化恶意软件。
影响范围：
2023.1.0 <= Progress Software WhatsUp Gold < 2024.0.1
安全建议：
目前该漏洞已经修复，受影响用户可升级到以下版本：
Progress Software WhatsUp Gold >= 2024.0.1
下载链接：
https://www.progress.com/network-monitoring

3.2 Veeam Service Provider Console远程代码执行漏洞（CVE-2024-42448）

公开时间：2024-12-04
漏洞等级：高危
漏洞类型：RCE
漏洞利用细节是否公开：未公开
漏洞概述：
Veeam Service Provider Console 7和8.1.0.21377及之前版本中存在远程代码执行漏洞，从VSPC管理代理机器上，在管理代理已在服务器上获得授权的条件下，攻击者可利用该漏洞从VSPC管理代理机器在未修补的服务器上执行任意代码，从而可能远程控制受影响的服务器，执行恶意操作，如窃取数据、破坏系统或部署恶意软件等。
影响范围：
Veeam Service Provider Console <= 8.1.0.21377（包括所有早期版本8和7版本）
安全建议：
目前这些漏洞已经修复，受影响用户可升级到以下版本：
Veeam Service Provider Console >= 8.1.0.21999
下载链接：
https://www.veeam.com/kb4651

3.3 SailPoint IdentityIQ访问控制不当漏洞（CVE-2024-10905）

公开时间：2024-12-05
漏洞等级：高危
漏洞类型：访问控制不当
漏洞利用细节是否公开：未公开
漏洞概述：
攻击者可利用该漏洞在未经授权的情况下通过HTTP直接访问 IdentityIQ 应用程序目录中本应受保护的静态内容（比如敏感配置文件、应用程序代码和用户数据等），从而可能导致敏感信息泄露或执行未经授权的操作。
影响范围：
IdentityIQ 8.4 < 8.4p2
IdentityIQ 8.3 < 8.3p5
IdentityIQ 8.2 < 8.2p8
IdentityIQ 的所有先前版本
安全建议：
目前该漏洞已经修复，受影响用户可升级到以下版本：
IdentityIQ 8.4 >= 8.4p2
IdentityIQ 8.3 >= 8.3p5
IdentityIQ 8.2 >= 8.2p8
下载链接：
https://www.sailpoint.com/security-advisories/identityiq-improper-access-control-vulnerability-cve-2024-10905

3.4 Django Oracle SQL注入漏洞（CVE-2024-53908）

公开时间：2024-12-05
漏洞等级：高危
漏洞类型：SQL注入
漏洞利用细节是否公开：未公开
漏洞概述：
Django应用使用Oracle数据库作为后端时，当Django应用中的django.db.models.fields.json.HasKey查找功能被直接用于Oracle数据库，并且其左侧参数（lhs）包含不受信任的数据时，可能会导致SQL注入攻击，攻击者可通过注入恶意SQL代码来攻击数据库，从而可能导致敏感数据泄露、数据篡改或数据库被恶意控制。
影响范围：
Django 5.1 < 5.1.4
Django 5.0 < 5.0.10
Django 4.2 < 4.2.17
安全建议：
目前这些漏洞已经修复，受影响用户可升级到以下版本：
Django 5.1 >= 5.1.4
Django 5.0 >= 5.0.10
Django 4.2 >= 4.2.17
下载链接：
https://www.djangoproject.com/download/

3.5 Mitel MiCollab身份验证绕过漏洞（CVE-2024-41713）

公开时间：2024-12-06
漏洞等级：高危
漏洞类型：路径遍历
漏洞利用细节是否公开：已公开
漏洞概述：
Mitel MiCollab 的 NuPoint 统一消息 (NPM) 组件中存在身份验证绕过漏洞，由于输入验证不足，未经身份验证的远程攻击者可利用该漏洞执行路径遍历攻击，成功利用可能导致未授权访问、破坏或删除用户的数据和系统配置。
影响范围：
Mitel MiCollab <= 9.8 SP1 FP2 (9.8.1.201)
安全建议：
目前CVE-2024-41713 已在 MiCollab 9.8 SP2 (9.8.2.12) 中修复，并在该版本中缓解了任意文件读取漏洞，受影响用户可升级到MiCollab 9.8 SP2 (9.8.2.12) 或更高版本。
下载链接：
https://www.mitel.com/products/micollab-collaboration-software

3.6 SonicWall SMA100 SSL-VPN缓冲区溢出漏洞（CVE-2024-45318）

公开时间：2024-12-06
漏洞等级：高危
漏洞类型：缓冲区溢出
漏洞利用细节是否公开：未公开
漏洞概述：
该漏洞存在于SonicWall SMA100 SSL-VPN Web管理界面中，未经身份验证的远程攻击者可利用该漏洞触发缓冲区溢出并可能导致任意代码执行。
影响范围：
SMA 100系列 (SMA 200、210、400、410、500v) 版本<= 10.2.1.13-72sv
安全建议：
目前这些漏洞已经修复，受影响用户可升级到以下版本：
SMA 100系列（SMA 200、210、400、410、500v）版本>= 10.2.1.14-75sv
下载链接：
https://www.sonicwall.com/zh-cn/support

3.7 OpenWrt Attended SysUpgrade命令注入漏洞（CVE-2024-54143）

公开时间：2024-12-10
漏洞等级：高危
漏洞类型：命令注入、弱哈希
漏洞利用细节是否公开：未公开
漏洞概述：
Imagebuilder命令注入漏洞：由于在镜像构建过程中，用户提供的软件包名称未经适当处理就被合并到make命令中，这可能导致恶意用户将任意命令注入构建过程，从而生成使用合法构建密钥签名的恶意固件镜像。
SHA-256 哈希截断问题：请求哈希机制将 SHA-256 哈希截断为仅 12个字符（48 比特熵），导致哈希碰撞的可能性显著增加，攻击者可以利用哈希碰撞技术用恶意镜像覆盖合法缓存镜像，从而可能导致恶意镜像传递给用户。
攻击者可组合利用这些漏洞，通过命令注入漏洞生成恶意固件镜像，并通过哈希碰撞技术，将恶意固件冒充为合法固件，并伪装在缓存中分发给用户。攻击者可以通过篡改 sysupgrade.openwrt.org 服务生成的固件镜像，当用户通过ASU、Firmware Selector 或 CLI升级等途径下载并安装恶意固件镜像后，设备可能被攻击者完全控制，从而可能导致拦截或篡改网络流量、窃取设备敏感信息或发起进一步攻击。
影响范围：
openwrt/asu < 920c8a1
安全建议：
该漏洞已通过920c8a1提交进行了修复，受影响用户可将openwrt/asu服务升级到修复版本或应用补丁以缓解该漏洞。
下载链接：
https://github.com/openwrt/asu/releases
 

3.8 Ivanti Cloud Services Application身份验证绕过漏洞（CVE-2024-11639）

公开时间：2024-12-11
漏洞等级：高危
漏洞类型：身份验证绕过
漏洞利用细节是否公开：未公开
漏洞概述：
Ivanti CSA 5.0.3版本之前在管理 Web 控制台中存在身份验证绕过漏洞，未经身份验证的远程攻击者可利用该漏洞获取管理访问权限，从而可能导致敏感信息泄露、篡改配置/设置或执行其他恶意操作。
影响范围：
Ivanti Cloud Services Application (CSA) <= 5.0.2
安全建议：
目前该漏洞已经修复，受影响用户可升级到Ivanti Cloud Services Application (CSA) 5.0.3或更高版本。
下载链接：
https://forums.ivanti.com/s/article/CSA-5-0-Download?ui-force-components-controllers-recordGlobalValueProvider.RecordGvp.getRecord=1
 

3.9 Apache Struts 2远程代码执行漏洞（CVE-2024-53677）

公开时间：2024-12-12
漏洞等级：高危
漏洞类型：路径遍历、文件上传
漏洞利用细节是否公开：已公开
漏洞概述：
Apache Struts 2多个受影响版本中文件上传逻辑存在缺陷，由于在文件上传过程中对用户提供的参数缺乏严格校验，攻击者可以通过操纵文件上传参数执行路径遍历攻击，某些情况下可能导致将恶意文件上传到服务器上的其他位置，从而导致远程代码执行。
影响范围：
Apache Struts 2.0.0 - 2.3.37 (EOL)
Apache Struts 2.5.0 - 2.5.33
Apache Struts 6.0.0 - 6.3.0.2
安全建议：
目前该漏洞已经修复，受影响用户可将Apache Struts框架升级到6.4.0或更高版本，并在升级后迁移到新的文件上传机制（即使用Action File Upload Interceptor来处理文件上传），从而防止该漏洞。
下载链接：
https://struts.apache.org/download.cgi
注意：不使用FileUploadInterceptor模块的应用程序不受该漏洞影响。

3.10 GitLab Kubernetes Proxy Response NEL头注入漏洞（CVE-2024-11274）

公开时间：2024-12-12
漏洞等级：高危
漏洞类型：注入、信息泄露
漏洞利用细节是否公开：未公开
漏洞概述：
由于GitLab CE/EE中的Kubernetes代理功能未正确处理或验证注入的Network Error Logging (NEL)头，攻击者可通过在 Kubernetes 代理响应中注入恶意NEL标头， 成功利用该漏洞可能导致会话相关数据泄露，这些数据可能被滥用来进行账户接管（ATO），从而实现未授权访问和控制用户账户。
影响范围：
16.1 <= GitLab CE/EE < 17.4.6
17.5 <= GitLab CE/EE < 17.5.4
17.6 <= GitLab CE/EE < 17.6.2
安全建议：
目前该漏洞已经修复，受影响用户可升级到GitLab CE/EE 17.6.2、17.5.4、17.4.6 或更高版本。
下载链接：
https://about.gitlab.com/

3.11 Cleo远程代码执行漏洞 ( CVE-2024-50623 )

公开时间：2024-12-13
漏洞等级：高危
漏洞类型：文件上传和下载
漏洞利用细节是否公开：已公开
漏洞概述：
Cleo LexiCom、VLTransfer 和 Harmony软件中存在不受限制的文件上传和下载漏洞，由于缺乏对上传文件和下载功能的适当验证和限制，攻击者可能利用该漏洞上传恶意文件并可能利用系统的访问/下载功能或其他机制触发恶意文件执行，成功利用该漏洞可能导致远程代码执行，从而造成数据泄露、篡改，甚至进一步的网络攻击。
影响范围：
Cleo Harmony < 5.8.0.24
Cleo VLTrader < 5.8.0.24
Cleo LexiCom < 5.8.0.24
安全建议：
目前这些漏洞已经修复，受影响用户可升级到以下版本：
Cleo Harmony >= 5.8.0.24
Cleo VLTrader >= 5.8.0.24
Cleo LexiCom >= 5.8.0.24

3.12 Apache Tomcat竞争条件远程代码执行漏洞（CVE-2024-50379）

公开时间：2024-12-18
漏洞等级：高危
漏洞类型：竞争条件
漏洞利用细节是否公开：已公开
漏洞概述：
Apache Tomcat中 JSP 编译期间存在检查时间使用时间（TOCTOU）竞争条件漏洞，当Apache Tomcat的默认 servlet 被配置为充许写入（即readonly初始化参数被设置为非默认值false），在不区分大小写的文件系统上，当对同一文件进行并发读取和上传时，可能
绕过Tomcat的大小写敏感性检查，导致上传的文件被错误地当作JSP文件处理，从而导致远程代码执行。
影响范围：
Apache Tomcat 11.0.0-M1 - 11.0.1
Apache Tomcat 10.1.0-M1 - 10.1.33
Apache Tomcat 9.0.0.M1 - 9.0.97
安全建议：
目前该漏洞已经修复，受影响用户可升级到以下版本：
Apache Tomcat >= 11.0.2
Apache Tomcat >= 10.1.34
Apache Tomcat >= 9.0.98
下载链接：
https://tomcat.apache.org/index.html

3.13 BeyondTrust RS & PRA命令注入漏洞（CVE-2024-12356）

公开时间：2024-12-19
漏洞等级：高危
漏洞类型：命令注入
漏洞利用细节是否公开：未公开
漏洞概述：
BeyondTrust 特权远程访问 (PRA) 和远程支持 (RS)中存在命令注入漏洞，由于对恶意客户端请求缺乏充分的输入验证，攻击者可通过向目标设备发送特制请求注入恶意命令，成功利用该漏洞可能导致在受害站点用户的上下文中执行任意命令，从而可能导致权限提升、敏感信息泄露或系统控制等。
影响范围：
BeyondTrust Privileged Remote Access (PRA) <= 24.3.1
BeyondTrust Remote Support (RS) <= 24.3.1
安全建议：
目前该漏洞已经修复，受影响用户可升级到以下版本：
BeyondTrust Privileged Remote Access (PRA)：升级到PRA补丁BT24-10-ONPREM1或BT24-10-ONPREM2
BeyondTrust Remote Support (RS)：升级到RS补丁BT24-10-ONPREM1或 BT24-10-ONPREM2
下载链接：
https://www.beyondtrust.com/

3.14 Sophos Firewall SQL注入漏洞（CVE-2024-12727）

公开时间：2024-12-20
漏洞等级：高危
漏洞类型：SQL注入
漏洞利用细节是否公开：未公开
漏洞概述：
Sophos Firewall 21.0 MR1（21.0.1）之前版本的电子邮件保护功能中存在SQL注入漏洞，由于防火墙未正确验证或过滤输入数据，导致攻击者可通过构造恶意 SQL 查询未授权访问报告数据库，如果防火墙运行在高可用性 (HA) 模式，且启用了 Secure PDF eXchange (SPX) 的特定配置，攻击者可能进一步利用该漏洞导致远程代码执行。
影响范围：
Sophos Firewall <= v21.0 GA (21.0.0)
安全建议：
Sophos Firewall v21 GA、v20 GA、v20 MR1、v20 MR2、v20 MR3、v19.5 MR3、v19.5 MR4、v19.0 MR2：应用补丁或升级到 v21 MR1及更高版本。
下载链接：
https://www.sophos.com/en-us/support/downloads

3.15 Apache Tomcat远程代码执行漏洞（CVE-2024-56337）

公开时间：2024-12-21
漏洞等级：高危
漏洞类型：竞争条件
漏洞利用细节是否公开：已公开
漏洞概述：
当Apache Tomcat运行在不区分大小写的文件系统上，且Apache Tomcat的默认servlet启用了写权限（readonly初始化参数被设置为false）以及系统属性sun.io.useCanonCaches为true时（Java 8或Java 11默认为true、Java 17默认为false、Java 21及更高版本不受影响），攻击者可能利用该漏洞在Tomcat服务器上写入恶意文件，从而实现远程代码执行。
影响范围：
Apache Tomcat 11.0.0-M1 - 11.0.1
Apache Tomcat 10.1.0-M1 - 10.1.33
Apache Tomcat 9.0.0.M1 - 9.0.97
安全建议：
目前Apache Tomcat官方已发布了修复版本，受影响用户可升级到以下版本并将系统属性 sun.io.useCanonCaches 设置为 false。
Apache Tomcat >= 11.0.2
Apache Tomcat >= 10.1.34
Apache Tomcat >= 9.0.98
下载链接：
https://tomcat.apache.org/index.html

3.16 Adob​​e ColdFusion路径遍历漏洞（CVE-2024-53961）

公开时间：2024-12-24
漏洞等级：高危
漏洞类型：路径遍历
漏洞利用细节是否公开：已公开
漏洞概述：
Adobe ColdFusion 2023 Update 11及之前版本、ColdFusion 2021 Update 17及之前版本中存在路径遍历漏洞，该漏洞可能导致未经身份验证的远程攻击者绕过应用程序的访问限制，从而读取受限目录之外的文件或目录，成功利用该漏洞可能导致敏感信息泄露或系统数据被操纵。
影响范围：
Adobe ColdFusion 2023 <= Update 11
Adobe ColdFusion 2021 <= Update 17
安全建议：
目前该漏洞已经修复，受影响用户可升级到以下版本：
Adobe ColdFusion 2023 >= Update 12
Adobe ColdFusion 2021 >= Update 18
下载链接：
https://www.adobe.com/products/coldfusion-family.html

3.17 Apache Hive & Spark信息泄露漏洞（CVE-2024-23945）

公开时间：2024-12-24
漏洞等级：高危
漏洞类型：信息泄露
漏洞利用细节是否公开：未公开
漏洞概述：
Apache Hive 和 Apache Spark 的CookieSigner 逻辑存在安全漏洞，当签名验证失败时，系统错误地将正确的签名值暴露给用户，导致攻击者可以通过构造错误的 Cookie 请求触发签名验证失败并获取有效签名，成功利用该漏洞可能允许攻击者伪造合法的 Cookie，从而绕过认证机制，导致未授权访问，并可能进一步引发会话劫持、权限提升等攻击。
影响范围：
1.2.0 <= Apache Hive < 4.0.0
2.0.0 <= Apache Spark < 3.0.0
3.0.0 <= Apache Spark < 3.3.4
3.4.0 <= Apache Spark < 3.4.2
Apache Spark 3.5.0
安全建议：
目前该漏洞已经修复，受影响用户可升级到以下版本：
Apache Hive >= 4.0.0
Apache Spark 2.x 系列 >= 3.0.0
Apache Spark 3.0.0系列 >= 3.3.4
Apache Spark 3.4.0系列 >= 3.4.2
Apache Spark 3.5.0 >= 3.5.1
下载链接：
https://github.com/apache/spark/tags
https://hive.apache.org/general/downloads/

3.18 Apache MINA反序列化远程代码执行漏洞（CVE-2024-52046）

公开时间：2024-12-25
漏洞等级：高危
漏洞类型：反序列化
漏洞利用细节是否公开：未公开
漏洞概述：
Apache MINA多个受影响版本中存在反序列化远程代码执行漏洞，由于Apache MINA 的 ObjectSerializationDecoder 组件使用了 Java 原生反序列化协议来处理传入的序列化数据，但缺乏必要的安全检查和防御机制，攻击者可通过向受影响的应用程序发送特制的恶意序列化数据，利用不安全的反序列化过程触发该漏洞，从而可能导致远程代码执行。
影响范围：
Apache MINA 2.0.X < 2.0.27
Apache MINA 2.1.X < 2.1.10
Apache MINA 2.2.X < 2.2.4
安全建议：
目前该漏洞已经修复，受影响用户可升级到以下版本：
Apache MINA 2.0.X >= 2.0.27
Apache MINA 2.1.X >= 2.1.10
Apache MINA 2.2.X >= 2.2.4
下载链接：
https://mina.apache.org/downloads-mina_2_0.html

3.19 libxml2 XML外部实体注入漏洞（CVE-2024-40896）

公开时间：2024-12-26
漏洞等级：高危
漏洞类型：XXE
漏洞利用细节是否公开：未公开
漏洞概述：
由于libxml2受影响版本中的SAX 解析器在处理外部实体时，即使开发者在自定义的 SAX 处理器中尝试通过某种方式（例如设置“checked”）来控制或覆盖外部实体的加载，解析器仍会触发与外部实体相关的事件。攻击者可通过向目标 XML 解析器提供包含外部实体引用的恶意 XML 输入来利用该漏洞，成功利用可能导致信息泄露（如访问文件系统的敏感文件）、拒绝服务或执行其他未授权操作。
影响范围：
2.11 <= libxml2 < 2.11.9
2.12 <= libxml2 < 2.12.9
2.13 <= libxml2 < 2.13.3
安全建议：
目前该漏洞已经修复，受影响用户可升级到以下版本：
libxml2 2.11.x >= 2.11.9
libxml2 2.12.x >= 2.12.9
libxml2 2.13.x >= 2.13.3
下载链接：
https://gitlab.gnome.org/GNOME/libxml2/-/releases