2024年中期的安全漏洞盘点：影响广泛的漏洞和建议

在2024年中期，各种软件平台都出现了多种安全漏洞，这些漏洞不仅影响了各个行业，也引发了广泛的关注。以下是一些最近发现的重要漏洞及其影响。

Delta Electronics DIAEnergie

  1. SQL注入漏洞：Delta Electronics的DIAEnergie v1.10.1.8610及其之前版本存在SQL注入漏洞。具体来说，当CEBC.exe处理”RecalculateScript”或”RecalculateHDMWYC”消息时，如果消息被分隔为四个字段并使用”~”字符作为分隔符，攻击者可以通过第四个字段进行SQL注入攻击。

  2. 拒绝服务漏洞：同样，DIAEnergie v1.10.1.8610及其之前版本也存在拒绝服务漏洞。当CEBC.exe处理”ICS Restart!”消息时，系统会被重启，从而导致服务中断。

F5 BIG-IP

  1. 存储型跨站脚本漏洞：F5 BIG-IP配置工具中的某个未披露页面存在存储型跨站脚本漏洞，这使得攻击者能够在当前登录用户的上下文中运行JavaScript。

  2. IPsec配置错误导致的TMM终止：当在虚拟服务器上配置IPsec时，某些未披露的流量可能会导致Traffic Management Microkernel (TMM)终止。

  3. 起源验证漏洞：BIG-IP APM浏览器网络访问VPN客户端（Windows、macOS和Linux）存在起源验证漏洞，这可能允许攻击者绕过F5端点检查。

  4. OData注入漏洞：BIG-IP Next Central Manager API（URI）存在OData注入漏洞。

Faraday GM8181

  1. 命令注入漏洞：Faraday GM8181和GM828x系列到2024年4月29日存在一个严重的漏洞，该漏洞影响NTP服务。攻击者可以通过操纵参数“ntp_srv”进行命令注入攻击，这种攻击方式可以远程执行。

Android系统

  1. 高危漏洞：Android系统在2024年11月1日发布的安全通报中，列出了多个高危漏洞。这些漏洞包括：
    • CVE-2024-40660：远程代码执行漏洞，影响Android 14和15。
    • CVE-2024-43081：远程代码执行漏洞，影响Android 12、12L、13、14和15。
    • CVE-2024-43085：远程代码执行漏洞，影响Android 12、12L、13、14和15。
    • CVE-2024-43093：远程代码执行漏洞，影响Android 12、13、14和15。
    • CVE-2024-43082：身份验证绕过漏洞，影响Android 12和12L。
    • CVE-2024-43084：身份验证绕过漏洞，影响Android 12、12L、13、14和15。
    • CVE-2024-43086：身份验证绕过漏洞，影响Android 12、12L、13、14和15。

其他软件平台

  1. Drupal：

    • 跨站脚本漏洞：Drupal存在多个严重的跨站脚本漏洞，这些漏洞使得攻击者能够执行恶意脚本并操纵前端管理员和WP Job管理页面。

  2. PaperCut MF：

    • 反射型跨站脚本漏洞：PaperCut MF存在反射型跨站脚本漏洞，这使得攻击者能够通过构造特定URL来执行恶意脚本。

  3. Tenable Security Center：

    • 证书验证不足：Tenable Security Center存在证书验证不足的问题，这使得攻击者能够伪造证书并进行攻击。

  4. Directus：

    • 未保护的WebSocket访问：Directus存在未保护的WebSocket访问问题，这使得攻击者能够通过未授权的访问方式进行攻击。

  5. Hugo和XML解析：

    • Markdown处理不当：Hugo存在Markdown处理不当的问题，这使得攻击者能够通过构造特定Markdown内容来执行恶意代码。
    • XML解析不当：某些软件存在XML解析不当的问题，这使得攻击者能够通过构造特定XML内容来执行恶意代码。

这些漏洞表明，软件安全是一个不断挑战的领域。组织应采取积极措施，及时更新软件并监控系统，以防止这些漏洞被利用进行攻击。