雷神众测漏洞周报2025.4.1-2025.4.6
雷神众测漏洞周报2025.4.1-2025.4.6
雷神众测 雷神众测 2025-04-08 16:54
摘要
以下内容，均摘自于互联网，由于传播，利用此文所提供的信息而造成的任何直接或间接的后果和损失，均由使用者本人负责，雷神众测以及文章作者不承担任何责任。
雷神众测拥有该文章的修改和解释权。如欲转载或传播此文章，必须保证此文章的副本，包括版权声明等全部内容。声明雷神众测允许，不得任意修改或增减此文章内容，不得以任何方式将其用于商业目的。
目录
1.MongoDB存在身份验证不当漏洞
2.NVIDIA Riva访问控制错误漏洞
3.Vite 任意文件读取漏洞
4.Apache Parquet Avro格式反序列漏洞
漏洞详情
1.MongoDB存在身份验证不当漏洞
漏洞介绍：
MongoDB是一个开源的NoSQL文档数据库，由MongoDB Inc.（原 10gen）开发并维护。它采用灵活的JSON-like（BSON）文档模型，支持高性能、高可用性和水平扩展。MONGODB-X509是MongoDB的一种身份验证机制，它使用X.509证书对客户端或集群成员进行身份验证。
漏洞危害：
MongoDB在Linux上运行启用了TLS和CRL吊销状态检查时，无法检查对端证书链中中间证书的吊销状态。在MONGODB-X509（默认未启用）的情况下，这可能导致身份验证不当，此问题可能影响集群内部认证。
漏洞编号：
CVE-2025-3085
影响范围：
5.0 <= MongoDB Server < 5.0.31
6.0 <= MongoDB Server < 6.0.20
7.0 <= MongoDB Server < 7.0.16
8.0 <= MongoDB Server < 8.0.4
修复方案：
及时测试并升级到最新版本或升级版本
来源:
安恒信息CERT
2.NVIDIA Riva访问控制错误漏洞
漏洞介绍：
NVIDIA Riva 是NVIDIA发布的一个完全加速的对话式AI 应用框架，用于构建使用端到端的多模态对话式AI服务。
漏洞危害：
NVIDIA Riva存在访问控制错误漏洞，攻击者可利用该漏洞篡改数据，造成服务拒绝或信息泄露。
漏洞编号：
CVE-2025-23242
影响范围：
NVIDIA Riva
修复方案：
及时测试并升级到最新版本或升级版本
来源：
CNVD
3.Vite 任意文件读取漏洞
漏洞介绍：
Vite 是一种快速的前端构建工具，通过原生 ES 模块导入和按需编译，实现极快的开发服务器启动和热更新体验。
漏洞危害：
受影响版本的 Vite 的 transformMiddleware 没有对请求的路径进行严格的安全检查和限制，攻击者可以通过包含 ?import&?inline=1.wasm?init URL 参数来访问未经授权的文件。
漏洞编号：
CVE-2025-31125
影响范围：
6.2.0 <= vite < 6.2.3
6.1.0 <= vite < 6.1.2
6.0.0 <= vite < 6.0.12
5.0.0 <= vite < 5.4.15
vite < 4.5.10
修复方案：
及时测试并升级到最新版本或升级版本
来源：
OSCS
4.Apache Parquet Avro格式反序列漏洞
漏洞介绍：
Apache Parquet Java是一个开源的工具，用于优化大规模数据处理。其中parquet-avro模块用于转换parquet格式与avro数据格式。
漏洞危害：
在parquet-avro 1.15.0 及之前的版本中，AvroConverters.java中的FieldStringableConverter方法未对传入的stringableClass对象进行校验操作，导致在将parquet文件转换为avro的过程中可实例化任意类并调用构造方法，攻击者可利用该特性传入恶意parquet文件，执行任意代码。
修复版本通过checkSecurity函数来实现白名单限制，对传入的stringableClass对象进行校验，只允许受信任包下的stringableClass对象通过，限制反序列化的恶意类加载。
漏洞编号：
CVE-2025-30065
影响范围：
org.apache.parquet:parquet-avro <1.15.1
修复方案：
及时测试并升级到最新版本或升级版本
来源：
OSCS
专注渗透测试技术
全球最新网络攻击技术
END