企业安全-华云安漏洞安全周报【第157期】

根据，本周（2023.10.16~2023.10.22）CNNVD接报漏洞413个，其中信息技术产品漏洞（通用型漏洞）247个，网络信息系统漏洞（事件型漏洞）166个，其中华云安报送55个；CNNVD收录漏洞通报166份，其中华云安报送1份。

本周重点关注漏洞包括：CVE-2023-20198 Cisco IOS XE Web UI 权限提升漏洞、CVE-2023-43668 Apache InLong 代码问题漏洞、CVE-2023-25753 Apache ShenYu 代码问题漏洞、CVE-2023-3991 FreshTomato 操作系统命令注入漏洞。漏洞影响范围较广，华云安建议相关用户做好资产自查与预防工作。

01 CVE-2023-20198 Cisco IOS XE Web UI 权限提升漏洞

威胁等级：超危

漏洞描述：

2023年10月17日，华云安思境安全团队监测发现 Cisco 官方发布安全更新，披露了 Cisco IOS XE Software 存在权限提升漏洞。Cisco IOS XE Software 是 Cisco 公司的一个用于企业有线、无线、汇聚、核心、WAN 的操作系统。未经身份验证的远程攻击者可能利用此漏洞在受影响的系统上创建具有特殊权限的帐户。

情报来源：

02 CVE-2023-43668 Apache InLong 代码问题漏洞

威胁等级：超危

漏洞描述：

2023年10月18日，华云安思境安全团队监测发现 Apache 官方发布了安全通告，披露了 Apache InLong 1.4.0 到 1.8.0 版本存在代码问题漏洞。该版本代码中存在一些敏感参数检查可以被绕过的因素，未经身份验证的远程攻击者可能利用此漏洞进行授权绕过。

情报来源：

03 CVE-2023-25753 Apache ShenYu 代码问题漏洞

威胁等级：超危

漏洞描述：

2023年10月19日，华云安思境安全团队监测到 Apache 官方发布安全更新，披露了 Apache ShenYu 2.5.1 版本存在代码问题漏洞。Apache ShenYu 是一款基于 Java 开发，具有异步、高性能、跨语言、响应式的 API 网关。该版本存在一个 SSRF 漏洞，未经身份验证的远程攻击者可能利用此漏洞在 requestUrl 参数中输入精心构建 URL 来操纵任意请求并检索相应的响应。

情报来源：

04 CVE-2023-3991 FreshTomato 操作系统命令注入漏洞

威胁等级：超危

漏洞描述：

2023年10月21 日，华云安思境安全团队监测发现 FreshTomato 官方发布安全更新，披露了 FreshTomato 2023.3版本存在命令注入漏洞。FreshTomato 是一个基于 Linux 系统开源的 GUI 软路由操作系统。未经身份验证的攻击者可能利用该漏洞执行特制的 HTTP 请求执行任意命令。

情报来源：

华云安

华云安是一家深耕于网络空间安全领域的高新技术企业，专注于漏洞研究、攻防对抗、产品研发、安全服务；致力于对主动防御、情报协同、溯源反制能力进行融合创新，以攻击者视角构建攻击面管理安全能力平台，提供新一代网络安全对抗防御解决方案。公司服务于国家网络安全监管部门及金融、能源、教育、医疗等关键信息基础设施行业。

公司持续构建的原子化安全能力平台，秉承数据驱动、AI引领的理念，通过基于知识图谱的安全风险库和场景化人工智能引擎两大核心技术，结合不同的业务需求灵活组合安全能力，实现一个平台覆盖所有安全能力。