雷神众测漏洞周报2024.07.08-2024.07.14
雷神众测漏洞周报2024.07.08-2024.07.14
原创 雷神众测 雷神众测 2024-07-15 15:38
摘要
以下内容，均摘自于互联网，由于传播，利用此文所提供的信息而造成的任何直接或间接的后果和损失，均由使用者本人负责，雷神众测以及文章作者不承担任何责任。雷神众测拥有该文章的修改和解释权。如欲转载或传播此文章，必须保证此文章的副本，包括版权声明等全部内容。声明雷神众测允许，不得任意修改或增减此文章内容，不得以任何方式将其用于商业目的。
目录
1.GitLab存在身份验证绕过漏洞
2.IBM WebSphere Application Server 远程代码执行漏洞
3.ServiceNow Glide表达式注入漏洞
4.北京星网锐捷网络技术有限公司NBR6135-E存在命令执行漏洞
漏洞详情
1.GitLab存在身份验证绕过漏洞
漏洞介绍：
GitLab是由GitLab公司开发的、基于Git的集成软件开发平台。另外，GitLab且具有wiki以及在线编辑、issue跟踪功能、CI/CD等功能。
漏洞危害：
该漏洞允许攻击者在某些情况下以其他用户的身份触发pipeline。
漏洞编号：
CVE-
2024-6385
影响范围：
15.8 <= GitLab CE/EE < 16.11.6
17.0 <= GitLab CE/EE < 17.0.4
17.1 <= GitLab CE/EE < 17.1.2
修复方案：
及时测试并升级到最新版本或升级版本
来源:安恒信息CERT
2.IBM WebSphere Application Server 远程代码执行漏洞
漏洞介绍：
IBM WebSphere Application Server是IBM开发的企业级应用服务器。
漏洞危害：
受影响版本中，经过身份验证且具有管理控制台访问权限的攻击者可在目标系统上远程执行任意代码。
漏洞编号：
CVE-2024-35154
影响范围：
websphere_application_server@[9.0.0.0, 9.0.5.21)
websphere_application_server@[8.5.0.0, 8.5.5.26)
修复方案：
及时测试并升级到最新版本或升级版本
来源：
OSCS
3.ServiceNow Glide表达式注入漏洞
漏洞介绍：
ServiceNow 是一个商业的软件平台，专注于企业的数字化工作流和IT服务管理（ITSM）。ServiceNow Glide 是 ServiceNow 平台中的一组API和工具，用于在服务门户中创建服务请求和脚本。
漏洞危害：
受影响版本中，由于 GlideExpressionScript 类未对用户可控的代码有效过滤，未经授权的远程攻击者可在向 /login.do 接口传入包含恶意表达式的jvar_page_title参数远程执行任意代码。
影响范围：
servicenow@(-∞, Utah Patch 10a Hot Fix 2)
servicenow@(-∞, Utah Patch 10b Hot Fix 1)
servicenow@(-∞, Vancouver Patch 8 Hot Fix 4)
servicenow@(-∞, Vancouver Patch 9 Hot Fix 1)
servicenow@(-∞, Vancouver Patch 7 Hot Fix 3b)
servicenow@(-∞, Vancouver Patch 6 Hot Fix 2)
servicenow@(-∞, Vancouver Patch 10)
servicenow@(-∞, Washington DC Patch 1 Hot Fix 3b)
servicenow@(-∞, Washington DC Patch 2 Hot Fix 2)
servicenow@(-∞, Washington DC Patch 3 Hot Fix 2)
servicenow@(-∞, Washington DC Patch 4)
servicenow@(-∞, Washington DC Patch 5)
修复方案：
及时测试并升级到最新版本或升级版本
来源：OSCS
4.北京星网锐捷网络技术有限公司NBR6135-E存在命令执行漏洞
漏洞介绍：
NBR6135-E是一款路由器。
漏洞危害：
北京星网锐捷网络技术有限公司NBR6135-E存在命令执行漏洞，攻击者可利用漏洞执行命令。
影响范围：
北京星网锐捷网络技术有限公司 NBR6135-E 2019.04.01.14
修复方案：
及时测试并升级到最新版本或升级版本
来源：CNVD
专注渗透测试技术
全球最新网络攻击技术
END