上周关注度较高的产品安全漏洞(20240520-20240526)

一、境外厂商产品漏洞

1、IBM Cognos Controller信息泄露漏洞（CNVD-2024-23286）

IBM Cognos Controller是美国国际商业机器（IBM）公司的一套商业智能与计划解决方案。该产品具有流程自动化、财务审计控制、创建和管理财务报告等功能。IBM Cognos Controller存在信息泄露漏洞，该漏洞源于不会在授权令牌或会话cookie上设置安全属性。攻击者可利用该漏洞通过向用户发送http:// 链接或将此链接植入用户访问的网站来获取cookie值。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2024-23286

2、SAP macOS-enterprise-privileges缓冲区溢出漏洞

SAP macOS-enterprise-privileges是德国思爱普（SAP）公司的一款应用软件，可以提供一种快速、简单的方法在需要时获取管理员权限。SAP macOS-enterprise-privileges 1.5.4之前版本存在缓冲区溢出漏洞。攻击者可利用该漏洞导致系统崩溃。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2024-23327

3、Siemens RUGGEDCOM CROSSBOW SQL注入漏洞

Siemens RUGGEDCOM CROSSBOW是德国西门子（Siemens）公司的一个经过验证的安全访问管理解决方案。Siemens RUGGEDCOM CROSSBOW存在SQL注入漏洞，该漏洞是由于受影响的客户端系统在将输入数据发送到SQL服务器之前未能正确地对其进行过滤。攻击者可利用此漏洞获取数据库敏感信息。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2024-23527

4、IBM AIX权限提升漏洞（CNVD-2024-23284）

IBM AIX是美国国际商业机器（IBM）公司的一款为IBM Power体系架构开发的一种基于开放标准的UNIX操作系统。IBM AIX存在安全漏洞。攻击者可利用该漏洞提升权限。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2024-23284

5、Mozilla Firefox安全绕过漏洞（CNVD-2024-23344）

Mozilla Firefox是美国Mozilla基金会的一款开源Web浏览器。Mozilla Firefox ESR是Firefox（Web浏览器）的一个延长支持版本。Mozilla Thunderbird是一套从Mozilla Application Suite独立出来的电子邮件客户端软件。Mozilla Firefox存在安全绕过漏洞，攻击者可利用该漏洞绕过安全限制。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2024-23344

二、境内厂商产品****漏洞

1、北京星网锐捷网络技术有限公司EG2000CE存在命令执行漏洞（CNVD-2024-22811）

EG2000CE是一款智能路由器。北京星网锐捷网络技术有限公司EG2000CE存在命令执行漏洞，攻击者可利用该漏洞获取服务器权限。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2024-22811

2、H3C ER5100G2系统管理存在命令执行漏洞

ER5100G2是新一代企业级千兆有线路由器。H3C ER5100G2系统管理存在命令执行漏洞，攻击者可利用该漏洞获取服务器权限。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2024-22766

3、北京亿赛通科技发展有限责任公司电子文档安全管理系统存在命令执行漏洞（CNVD-2024-23166）

北京亿赛通科技发展有限责任公司是国内数据安全、网络安全及安全服务三大业务提供商。北京亿赛通科技发展有限责任公司电子文档安全管理系统存在命令执行漏洞，攻击者可利用该漏洞获取服务器控制权。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2024-23166

4、统信软件技术有限公司统信桌面操作系统存在任意文件写入漏洞

统信桌面操作系统是一款国产桌面操作系统。统信软件技术有限公司统信桌面操作系统存在任意文件写入漏洞，攻击者可利用漏洞修改任意文件，从而进行本地提权。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2024-23842

5、Tenda AC8 formSetRebootTimer函数存在栈缓冲区溢出漏洞

Tenda AC8是一款路由器产品，主要用于家庭和小型办公室的网络连接。Tenda AC8在16.03.34.09版本中的/goform/SetRebootTimer文件的formSetRebootTimer函数存在栈缓冲区溢出漏洞。攻击者可以利用该漏洞远程操纵rebootTime参数，执行任意代码。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2024-23310

说明：关注度分析由CNVD根据互联网用户对CNVD漏洞信息查阅情况以及产品应用广泛情况综合评定。