第四师网络安全通报

2023年第31期

 

第四师可克达拉市网络与信息安全信息通报中心        2023年8月23日

 

上周关注度较高的产品安全漏洞(202308014-20230820)

一、境外厂商产品漏洞

1、Adobe Acrobat Reader越界读取漏洞（CNVD-2023-62945）

Adobe Acrobat Reader是美国奥多比（Adobe）公司的一款PDF查看器。该软件用于打印，签名和注释PDF。Adobe Acrobat Reader存在越界读取漏洞，攻击者可利用该漏洞导致敏感内存泄露。

参考链接：https://www.cnvd.org.cn/flaw/show/CNVD-2023-62945

2、WordPress Social Share Buttons SQL注入漏洞

WordPress是一套使用PHP语言开发的博客平台。该平台支持在PHP和MySQL的服务器上架设个人博客网站。WordPress Social Share Buttons 2.2.3及其之前版本存在SQL注入漏洞，该漏洞源于应用缺少对外部输入SQL语句的验证。经过身份验证的攻击者可利用漏洞执行非法SQL命令窃取数据库敏感数据。

参考链接：https://www.cnvd.org.cn/flaw/show/CNVD-2023-64011

3、Google Chrome SplitScreen内存错误引用漏洞

Google Chrome是美国谷歌（Google）公司的一款Web浏览器。Google Chrome 105.0.5195.52之前版本存在内存错误引用漏洞，该漏洞源于在SplitScreen中负责释放内存的指令发生混乱。攻击者可利用该漏洞执行任意代码或在系统上造成拒绝服务条件。

参考链接：https://www.cnvd.org.cn/flaw/show/CNVD-2023-63955

4、Adobe Acrobat Reader越界读取漏洞（CNVD-2023-62953）

 Adobe Acrobat Reader是美国奥多比（Adobe）公司的一款PDF查看器。该软件用于打印，签名和注释PDF。Adobe Acrobat Reader存在越界读取漏洞，攻击者可利用该漏洞导致敏感内存泄露。

参考链接：https://www.cnvd.org.cn/flaw/show/CNVD-2023-62953

5、Google Chrome代码执行漏洞（CNVD-2023-63463）

Google Chrome是美国谷歌（Google）公司的一款Web浏览器。V8是其中的一套开源JavaScript引擎。Google Chrome存在代码执行漏洞，该漏洞是由于V8中的类型混淆引起的。攻击者可利用该漏洞在系统上执行任意代码或导致应用程序崩溃。

参考链接：https://www.cnvd.org.cn/flaw/show/CNVD-2023-63463

 二、境内厂商产品漏洞

1、新华三技术有限公司Magic R365存在二进制漏洞（CNVD-2023-62724）

Magic R365是一款全千兆无线路由器。新华三技术有限公司Magic R365存在二进制漏洞，攻击者可利用该漏洞执行任意命令。

参考链接：https://www.cnvd.org.cn/flaw/show/CNVD-2023-62724

2、SEMCMS文件上传漏洞

SEMCMS是一套支持多种语言的外贸网站内容管理系统（CMS）。SEMCMS 3.9版本存在文件上传漏洞，该漏洞源于应用对上传的文件缺少有效的验证，攻击者可利用该漏洞通过SEMCMS_Upfile.php运行任意代码。

参考链接：https://www.cnvd.org.cn/flaw/show/CNVD-2023-62956

3、Tenda 4G300缓冲区溢出漏洞

Tenda 4G300是中国腾达（Tenda）公司的一款无线路由器。Tenda 4G300存在缓冲区溢出漏洞，攻击者可利用该漏洞在请求中设置页面字段来发起拒绝服务攻击或远程代码执行攻击。

参考链接：https://www.cnvd.org.cn/flaw/show/CNVD-2023-62955

4、ASUS RT-AC66U信息泄露漏洞

ASUS RT-AC66U是中国华硕（ASUS）公司的一款无线路由器。ASUS RT-AC66U B1 3.0.0.4.286_51665版本存在信息泄露漏洞，该漏洞源于以明文传输敏感信息。攻击者可利用该漏洞获取敏感信息。

参考链接：https://www.cnvd.org.cn/flaw/show/CNVD-2023-63436

5、ThinkCMF跨站脚本漏洞

ThinkCMF是一套基于ThinkPHP的CMS（内容管理系统）。ThinkCMF 5.1.5版本存在跨站脚本漏洞，该漏洞源于文件UserController.php对用户提供的数据缺乏有效过滤与转义，攻击者可利用该漏洞通过设计user_login执行任意代码。

参考链接：https://www.cnvd.org.cn/flaw/show/CNVD-2023-64044