上周关注度较高的产品安全漏洞(20240513-20240519)

国家互联网应急中心CNCERT 2024-05-21 14:08

一、境外厂商产品漏洞

1、
Apache James MIME4J输入验证错误漏洞

Apache James MIME4J
是美国阿帕奇（
Apache
）基金会的一个库。可用于解析纯
rfc822
和
MIME
格式的电子邮件消息流，并构建电子邮件消息的树表示。
Apache James MIME4J 0.8.9
及之前版本存在输入验证错误漏洞，攻击者可利用该漏洞通过发送特制的请求，向
MIME
消息添加意外的标头
。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2024-22236

---

---

2、
Siemens Parasolid X_T文件越界写入漏洞

Siemens Parasolid
是一种三维几何建模工具，支持各种技术，包括实体建模、直接编辑和自由曲面
/
图纸建模。
Siemens Parasolid X_T
文件存在越界写入漏洞，攻击者可利用该漏洞在当前进程的上下文中执行代码。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2024-23108

3
、IBM Aspera Faspex日志信息泄露漏洞

IBM Aspera
是美国国际商业机器（
IBM
）公司的一套基于
IBM FASP
协议构建的快速文件传输和流解决方案。
IBM Aspera Faspex
存在日志信息泄露漏洞，攻击者可利用该漏洞获取敏感信息。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2024-22249

4、
Siemens Solid Edge越界读取漏洞（CNVD-2024-23112）

Siemens Solid Edge
是德国西门子（
Siemens
）公司的一款三维
CAD
软件。该软件可用于零件设计、装配设计、钣金设计、焊接设计等行业。
Siemens Solid Edge
存在越界读取漏洞，攻击者可利用该漏洞在当前进程的上下文中执行代码
。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2024-23112

5、
IBM Aspera Faspex拒绝服务漏洞

IBM Aspera
是美国国际商业机器（
IBM
）公司的一套基于
IBM FASP
协议构建的快速文件传输和流解决方案。
IBM Aspera Faspex
存在拒绝服务漏洞，该漏洞源于缺少
API
速率限制，攻击者可利用该漏洞导致拒绝服务。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2024-22246

二、境内厂商产品漏洞

1、北京亿赛通科技发展有限责任公司数据泄露防护(DLP)系统存在信息泄露漏洞

北京亿赛通科技发展有限责任公司是国内数据安全、网络安全及安全服务三大业务提供商。北京亿赛通科技发展有限责任公司数据泄露防护
(DLP)
系统存在信息泄露漏洞，攻击者可利用该漏洞获取敏感信息。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2024-21776

2、用友网络科技股份有限公司U8 Cloud存在SQL注入漏洞（CNVD-2024-22713）

U8 Cloud
是一款企业上云数字化平台，集交易、服务、管理于一体的
ERP
整体解决方案。用友网络科技股份有限公司
U8 Cloud
存在
SQL
注入漏洞，攻击者可利用该漏洞获取数据库敏感信息
。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2024-22713

3、D-Link DIR-845L命令执行漏洞

D-Link DIR-845L
是中国友讯（
D-Link
）公司的一款无线路由器。
D-Link DIR-845L
存在命令执行漏洞，攻击者可利用该漏洞通过发送特制的请求在系统上执行任意命令。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2024-23132

4、北京亚控科技发展有限公司KingSuperSCADA运行系统客户端存在信息泄露漏洞（CNVD-2024-18096）

北京亚控科技发展有限公司简称“亚控科技”，是一家成立于
1997
年的工业自动化和信息化软件平台高科技企业。北京亚控科技发展有限公司
KingSuperSCADA
运行系统客户端存在信息泄露漏洞，攻击者可利用该漏洞获取敏感信息
。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2024-18096

5、用友网络科技股份有限公司U8 Cloud存在SQL注入漏洞（CNVD-2024-22710）

U8 Cloud
是一款企业上云数字化平台，集交易、服务、管理于一体的
ERP
整体解决方案。用友网络科技股份有限公司
U8 Cloud
存在
SQL
注入漏洞，攻击者可利用该漏洞获取数据库敏感信息
。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2024-22710

说明：关注度分析由CNVD秘书处根据互联网用户对CNVD漏洞信息查阅情况以及产品应用广泛情况
综合评定。