您所在的位置: 首页 >
安全研究 >
安全通告 >
上周关注度较高的产品安全漏洞
(20230731-20230806)
一、境外厂商产品漏洞
1、Siemens SIMATIC CN 4100默认权限不正确漏洞
Siemens SIMATIC CN 4100是德国西门子(Siemens)公司的一个通信节点。Siemens SIMATIC CN 4100 2.5版本之前存在安全漏洞,该漏洞源于受影响的设备在SSH配置中包含不正确的默认值。攻击者可利用该漏洞绕过网络隔离。
参考链接:https://www.cnvd.org.cn/flaw/show/CNVD-2023-60604
2、Google Android Framework代码执行漏洞(CNVD-2023-60937)
Google Android是美国谷歌(Google)公司的一套以Linux为基础的开源操作系统。Google Android Framework存在代码执行漏洞,攻击者可利用该漏洞在系统上获得提升的权限。
参考链接:https://www.cnvd.org.cn/flaw/show/CNVD-2023-60937
3、Siemens RUGGEDCOM ROX加密问题漏洞
RUGGEDCOM产品提供了一定程度的稳健性和可靠性,为部署在恶劣环境中的通信网络设定了标准。Siemens RUGGEDCOM ROX存在安全漏洞,该漏洞源于受影响设备的网络服务器支持不安全的TLS 1.0协议。攻击者可利用该漏洞会实施中间人攻击并损害数据的机密性和完整性。
参考链接:https://www.cnvd.org.cn/flaw/show/CNVD-2023-60612
4、Siemens RUGGEDCOM ROX命令注入漏洞(CNVD-2023-60606)
Siemens RUGGEDCOM是德国西门子(Siemens)公司的一个通信设备。为电力,交通,石油和天然气及其他行业提供快速可靠的通信。Siemens RUGGEDCOM ROX存在命令注入漏洞,该漏洞源于缺少服务器端输入验证,受影响设备的 Web 界面中的 SCEP CA 证书名称参数容易受到命令注入的攻击。攻击者可利用该漏洞以root权限执行任意代码。
参考链接:https://www.cnvd.org.cn/flaw/show/CNVD-2023-60606
5、Siemens SIMATIC CN 4100访问控制不当漏洞
Siemens SIMATIC CN 4100是德国西门子(Siemens)公司的一个通信节点。Siemens SIMATIC CN 4100 2.5版本之前存在安全漏洞,该漏洞源于受影响的设备在配置文件中包含不正确的访问控制,从而导致权限升级。攻击者可利用该漏洞获得管理员访问权限,从而完全控制设备。
参考链接:https://www.cnvd.org.cn/flaw/show/CNVD-2023-60605
二、境内厂商产品漏洞
1、Milesight UR32L firewall_handler_set函数缓冲区溢出漏洞(CNVD-2023-61192)
Milesight UR32L是中国星纵物联(Milesight)公司的一个4G工业路由器。Milesight UR32L firewall_handler_set函数存在缓冲区溢出漏洞,攻击者可利用该漏洞使缓冲区溢出并在系统上执行任意代码,或者导致应用程序崩溃。
参考链接:https://www.cnvd.org.cn/flaw/show/CNVD-2023-61192
2、深圳市电速科技有限公司RushCRM系统存在SQL注入漏洞
深圳市电速科技有限公司是目前广东省在计算机商业应用软件开发和复杂信息系统集成领域专业公司之一。深圳市电速科技有限公司RushCRM系统存在SQL注入漏洞,攻击者可利用该漏洞获取数据库敏感信息。
参考链接:https://www.cnvd.org.cn/flaw/show/CNVD-2023-52220
3、Foxit Reader资源管理错误漏洞(CNVD-2023-61389)
Foxit Reader是中国福昕(Foxit)公司的一款PDF文档阅读器。Foxit Reader 12.1.1.15289版本存在资源管理错误漏洞,该漏洞源于特制的PDF文档可以通过操作特定类型的表单字段来触发先前释放的内存的重用,攻击者可利用该漏洞导致任意代码执行。
参考链接:https://www.cnvd.org.cn/flaw/show/CNVD-2023-61389
4、Foxit Reader资源管理错误漏洞(CNVD-2023-61388)
Foxit Reader是中国福昕(Foxit)公司的一款PDF文档阅读器。Foxit Reader 12.1.2.15332版本存在安全漏洞,该漏洞源于恶意PDF文档中特制的Javascript代码可以触发先前释放对象的重用,攻击者可利用该漏洞导致内存损坏并导致任意代码执行。
参考链接:https://www.cnvd.org.cn/flaw/show/CNVD-2023-61388
5、Foxit Reader类型混淆漏洞(CNVD-2023-61387)
Foxit Reader是中国福昕(Foxit)公司的一款PDF文档阅读器。Foxit Reader 12.1.2.15332版本存在类型混淆漏洞,攻击者可利用该漏洞通过恶意PDF文档中特制的Javascript代码可能会导致内存损坏并导致远程代码执行。
参考链接:https://www.cnvd.org.cn/flaw/show/CNVD-2023-61387
说明:关注度分析由CNVD根据互联网用户对CNVD漏洞信息查阅情况以及产品应用广泛情况综合评定。
来源:CNVD漏洞平台