清源SCA社区每日漏洞提早感知情报、新增CVE及投毒情报推送-2025年07月08日
原文链接: https://mp.weixin.qq.com/s?__biz=Mzg3MDgyMzkwOA==&mid=2247491716&idx=1&sn=56c0e2eca58ac6a391038825ae1a1e81
清源SCA社区每日漏洞提早感知情报、新增CVE及投毒情报推送-2025年07月08日
清源社区 安势信息 2025-07-09 00:30
扫码进群：获取每日最新漏洞和投毒情报推送
清源SCA开源版交流群
2025年07月08日新增漏洞相关情报
CVE未收录高危漏洞提早感知：1
CVE热点漏洞精选：2
投毒情报：2
漏洞提早感知（CVE暂未收录）
- gato-x命令注入漏洞利用
漏洞描述
该漏洞源于用户输入数据未经充分过滤即嵌入至命令字符串，当攻击者提交包含特殊字符的恶意文件名时，可通过格式化参数污染触发命令注入链。此漏洞允许远程攻击者在构建环境中任意执行代码，覆盖原有业务逻辑，最终达成提权、敏感数据泄露或服务中断等后果。
组件描述
组件gato-x作为GitHub Actions的工作流测试工具，其核心功能是通过模拟触发事件实现自动化工作流执行与漏洞检测。该组件基于YAML解析器设计，专为DevOps场景优化，旨在对CI/CD管道进行动态扫描以识别配置错误及潜在注入风险。其架构依赖于GitHub API集成，在持续交付流程中充当安全审计模块角色。
漏洞详情
漏洞威胁性评级： 9.8 (超危)
漏洞类型： Command Injection (CWE-78)
受影响组件仓库地址： https：//github.com/AdnaneKhan/gato-x
Star数： 376
修复建议
采用白名单策略严格校验用户输入
新增CVE 情报
- langgenius/dify 未过滤输入导致远程代码执行
漏洞描述
漏洞编号：CVE-2025-3466
发布时间：2025年07月07日
CVSS 评分为 9.8（超危）
参考链接：https：//nvd.nist.gov/vuln/detail/CVE-2025-3466
在 langgenius/dify 组件中，1.1.0 至 1.1.2 版本的代码节点因未对用户输入进行清理，存在 JavaScript 全局函数覆盖漏洞（CWE-1100）。攻击者可利用此漏洞绕过沙盒限制，在代码节点中注入恶意逻辑（如重写 parseInt 函数），最终实现任意代码执行并获取完整 root 权限。
漏洞影响所有未更新至 1.1.3 的 Dify 平台部署实例，攻击者可通过嵌入恶意代码节点的请求直接触发漏洞，无需用户交互且具备零点击攻击特性。
组件描述
Dify 是一个开源 AI 应用开发平台，提供可视化工作流编排功能，广泛用于构建企业级智能解决方案。其核心代码节点模块支持动态脚本执行，若未正确限制输入合法性，则可能成为攻击入口。
潜在风险
完全系统控制：攻击者可在宿主机上执行任意命令，窃取 SSH 密钥、数据库凭证等敏感资产
供应链投毒：通过控制 Dify 实例植入恶意插件，污染下游依赖方的 AI 模型训练数据
内网横向扩散：结合暴露的服务端口，进一步扫描攻击 Kubernetes 集群、云存储等基础设施
0day 利用窗口：由于攻击链隐蔽性强，传统 WAF 规则难以检测此类基于沙盒逃逸的技术
修复建议
-
升级至官方修复版本 1.1.3
-
在生产环境中禁用非必要的代码节点功能，改用预置函数库替代自定义脚本
-
启用容器级安全加固策略（如 Seccomp/AppArmor），限制代码节点的文件系统访问权限
-
对代码节点输出日志设置实时监测，识别异常的正则表达式替换或函数覆写模式
-
SAP S/4HANA特性传播代码注入漏洞导致远程代码执行
漏洞描述
漏洞编号：CVE-2025-42967
发布时间：2025年07月08日
CVSS 评分为 9.9（超危）
参考链接：https：//nvd.nist.gov/vuln/detail/CVE-2025-42967
在SAP S/4HANA和SAP SCM特性传播功能中，由于未正确限制动态代码生成，存在代码注入（CWE-94）安全缺陷。攻击者可通过用户级权限上传恶意代码片段，在系统中创建包含自定义逻辑的报告对象，最终实现远程代码执行并完全控制系统。
漏洞影响所有未部署防护措施的SAP S/4HANA和SCM实例，攻击者仅需通过合法用户身份提交特制业务数据包即可触发漏洞，无需额外用户交互即可完成横向渗透。
组件描述
SAP S/4HANA是基于内存计算的企业资源规划(ERP)平台，SAP SCM是供应链管理解决方案，两者均包含复杂的业务规则引擎和自动化数据传播机制。
潜在风险
权限逃逸：攻击者可绕过最小权限模型，在受感染系统中以系统管理员权限运行代码
全域破坏：通过API网关暴露的服务接口，攻击者可发起内网穿透攻击（T1046）
持久化植入：利用业务流程配置持久化后门，规避传统EDR检测机制（T1547）
修复建议
-
立即启用SAP Note 2968472/2968473中的临时防护策略
-
对业务报表开发实施白名单代码签名验证
-
启用SAP GRC系统强化账号权限审计
-
监控ABAP工作进程的非预期二进制加载行为
投毒情报
- 投毒事件
事件描述
这是一个npm官方仓库中的投毒事件, npm中ru.rustore.core组件的99.1.1版本被标记为存在恶意性。 该组件被发现与一个与恶意活动相关的域名进行通信并且执行了一个或多个与恶意行为相关的命令。 该组件版本的md5值为c351d308b7c84421c06d9eb2cb2c3609
发布日期
2025年07月08日
- 投毒事件
事件描述
这是一个npm官方仓库中的投毒事件, npm中rambler-id组件的91.9.9版本被标记为存在恶意性。 该组件被发现与一个与恶意活动相关的域名进行通信并且执行了一个或多个与恶意行为相关的命令。 该组件版本的md5值为d668dce64ffb9b6d151305bc21d59a57
发布日期
2025年07月08日
扫码进群：获取每日最新漏洞和投毒情报推送
清源SCA开源版交流群
开源安全，始于清源。让我们共同守护代码基石，释放开源生态的真正潜力！
关于安势信息
上海安势信息技术有限公司是国内先进的软件供应链安全治理解决方案提供商，核心团队来自Synopsys、华为、阿里巴巴、腾讯、中兴等国内外企业。安势信息始终坚持DevSecOps的理念和实践，以AI、多维探测和底层引擎开发等技术为核心，提供包括清源CleanSource SCA（软件成分分析）、清源SCA开源版、清正CleanBinary (二进制代码扫描)、清流PureStream（AI风险治理平台）、清本CleanCode SAST（企业级白盒静态代码扫描）、可信开源软件服务平台、开源治理服务等产品和解决方案，覆盖央企、高科技、互联网、ICT、汽车、高端制造、半导体&软件、金融等多元化场景的软件供应链安全治理最佳实践。
欢迎访问安势信息官网www.sectrend.com.cn或发送邮件至 [email protected]垂询。
点击蓝字 关注我们